Exploitasies is onlangs in die jongste weergawes van Windows 10/11 en Linux deur twee afsonderlike groepe onafhanklike kuberveiligheidsnavorsers ontdek.
Albei die kwesbaarhede kan deur kuberkrakers uitgebuit word om nie-admingebruikers volle toegang tot die onderskeie bedryfstelsel te gee.
Die Windows-ontginning is ontdek deur sekuriteitsnavorser Jonas Lykkegaard, wat sy bevindinge op Twitter gedeel het. Lykkegaard het ontdek dat die Windows 10- en 11-registerlêers wat met die Security Account Manager (SAM) geassosieer word, toeganklik is vir die "Gebruiker"-groep, wat minimale toegangsregte op 'n rekenaar het.
Die SAM is 'n databasis wat gebruikersrekeninge en rekeningbeskrywings stoor. Met hierdie fout kan kwaadwillige akteurs, volgens Microsoft, "…programme installeer; data bekyk, verander of uitvee; of nuwe rekeninge met volle gebruikersregte skep."
Die Linux-kwesbaarheid is ontdek deur navorsers by die kuberveiligheidsfirma Qualys met die span wat die fout, "Sequoia" genoem het. Volgens 'n plasing op Qualys se blog het die navorsers geverifieer dat Sequoia gevind kan word op "standaardinstallasies van Ubuntu 20.04, [20.10], [21.04], Debian 11 en Fedora 34 Workstation."
Alhoewel hulle dit nog nie bevestig het nie, stel die navorsers voor dat ander Linux-stelsels die kwesbaarheid kan hê.
In 'n sekuriteitsadvies het Microsoft bevestig dat die uitbuiting Windows 10 weergawe 1809 en nuwer stelsels raak. Weergawe 1809 is in Oktober 2018 vrygestel, dus weergawes van die bedryfstelsel wat sedertdien vrygestel is, het die fout. Die maatskappy moet nog 'n pleister vrystel om die ontginning reg te stel, maar tot dan het Microsoft 'n tydelike oplossing gelewer wat in die voorgenoemde advies gevind kan word.
Wat Linux betref, het Qualys 'n bewys van konsep-video vrygestel waarin uiteengesit word hoe die ontginning gedoen kan word en beveel aan dat gebruikers hierdie kwesbaarheid onmiddellik regmaak. Die firma werk tans daaraan om pleisters vry te stel soos dit beskikbaar word sodat Linux-gebruikers sal moet wag. Gebruikers kan hierdie pleisters op die Qualys-blog vind.
