Klíčové poznatky
- Ve Windows 10 a Windows 11 je chyba, kterou se Microsoftu nepodařilo opravit navzdory dvěma předchozím pokusům.
- Projekt 0patch vydal zdarma neoficiální opravu chyby.
-
Projekty jako 0patch pomáhají chránit váš počítač, dokud nebude k dispozici oficiální oprava zranitelnosti, říkají odborníci.
Vyžadovalo to neoficiální opravu, aby se opravila chyba ve Windows 10 a Windows 11, kterou se Microsoftu nepodařilo napravit navzdory několika pokusům v posledních několika měsících.
Chyba, která je technicky klasifikována jako chyba eskalace oprávnění, umožňuje útočníkům stát se správci, pokud mají fyzický přístup k počítači. Zajímavé je, že Microsoft chybu poprvé opravil v srpnu 2021, než výzkumník, který ji objevil, zjistil, že oprava byla porušena. Microsoft ji poté v lednu 2022 znovu opravil, ale tato druhá oprava byla rovněž shledána neúčinnou.
„Bohužel je běžnější, než by mělo být, aby se jakýkoli dodavatel pokoušel zranitelnost opravit, ale lidé pouze zjistili, že oprava není tak úplná, jak by měla být,“Will Dormann, Zranitelnost Analytik z CERT/CC, řekl Lifewire v DM na Twitteru.
Potřetí štěstí
Chybu objevil bezpečnostní výzkumník Abdelhamid Naceri, který poté záplaty Microsoftu zamítl jako neúčinné. Na podporu svého tvrzení napsal Naceri to, co je známé jako kód proof-of-concept, aby ukázal, že zranitelnost lze stále zneužít.
Mitja Kolsek, spoluzakladatel projektu 0patch, který vydal neoficiální opravu chyby, sdělil Lifewire e-mailem, že jedinou záchranou je, že chybu nelze zneužít vzdáleně přes internet. To znamená, že útočníci budou potřebovat fyzický přístup k vašemu počítači nebo najít způsob, jak přimět lidi, aby spustili jejich infekční kód, aby převzali kontrolu nad jejich počítačem.
Po technickém odstranění chyby Kolsek řekl, že chyby tohoto druhu je „obtížné opravit“a jeho tým v minulosti našel mnoho takových chyb. "Abych byl docela spravedlivý, kdyby se kdokoli z nás pokusil opravit tuto chybu, aniž by věděl, že nyní máme podobné chyby, pravděpodobně bychom ji také opravil nejméně dvakrát," řekl Kolsek.
Naceri poslala přímou zprávu Twitter Lifewire, aby potvrdila, že oprava vydaná 0patchem problém úspěšně vyřešila. Podle zpráv společnost Microsoft vydala prohlášení, kterým potvrzuje opravu 0 a podnikne potřebné kroky k ochraně svých zákazníků.
Správa oprav
Projekty jako 0patch se mohou zdát neintuitivní, protože poskytovatelé softwaru, jako je Microsoft, pravidelně rozdávají aktualizace, aby opravili problémy se svým softwarem.
Kolsek vysvětluje, že mezi identifikací zranitelnosti a dodáním opravy obvykle uplyne mnoho času. Známé zranitelnosti, které nemají opravu, se nazývají zero-days a útočníci obvykle promění právě publikovanou zranitelnost na exploit mnohem rychleji, než velcí dodavatelé softwaru mohou reagovat.
Když narazíme na takovou chybu zabezpečení, snažíme se ji reprodukovat v naší laboratoři a sami pro ni vytvoříme záplatu. Jakmile je záplata hotová, doručíme ji všem uživatelům záplaty prostřednictvím našeho serveru a do 60 minut, aplikuje se na všechny systémy chráněné záplatami,“vysvětlil Kolsek.
A stejně jako oprava zranitelnosti identifikovaná Naceri, 0patch neúčtuje poplatky za své opravy, dokud neexistuje oficiální oprava od společnosti Microsoft.
0patch také pomáhá zabezpečit oblíbené, ale nepodporované verze Windows, jako je Windows 7. Podporuje dokonce některé starší verze Windows 10, které buď nedostávají oficiální záplaty od společnosti Microsoft, nebo jsou aktualizace za vysokou cenu, držet je mimo dosah běžných lidí, kteří pak pokračují v provozování nechráněných systémů.
Kolsek zdůraznil, že na stále podporovaných edicích Windows by lidé měli považovat 0patch spíše za doplněk k oficiálním opravám než jako alternativu, a dodal, že opravy 0 fungují nejlépe na počítačích, které mají nainstalované všechny oficiální opravy.
