Google обнародовала данные об уязвимости нулевого дня в Windows до выхода её исправления

Исследователи из команды Google Project Zero, которые работают в сфере информационной безопасности, опубликовали данные об опасной уязвимости нулевого дня в Windows. Уязвимость может использоваться для выхода за пределы песочницы или повышения привилегий внутри системы. Примечательно, что Microsoft планирует устранить проблему только в следующем месяце, когда будет выпущено плановое обновление безопасности.

Речь идёт об уязвимости CVE-2020-17087, которая связана с работой одной из функций Windows Kernel Cryptography Driver (cng.sys) и относится к категории багов переполнения буфера. Исследователи также отмечают, что данная уязвимость активно используется злоумышленниками на практике. Подробности касательно данной уязвимости пока не раскрываются, но исследователи говорят о том, что выявленные случаи её эксплуатации никак не связаны с предстоящими выборами президента США.

Согласно имеющимся данным, уязвимость нулевого дня в Windows эксплуатировалась вместе с уязвимостью CVE-2020-15999 в браузере Google Chrome, которую несколько дней назад обнаружили специалисты Project Zero. Уязвимость Chrome применяется хакерами для выполнения вредоносного кода внутри браузера, тогда как уязвимость Windows делает возможным выход за пределы песочницы Chrome с последующим выполнением кода на уровне системы.

Проблема затрагивает разные версии программной платформы, начиная с Windows 7 и заканчивая недавними стабильными сборками Windows 10. Исправление для CVE-2020-17087 должно быть выпущено Microsoft 10 ноября вместе с плановым обновлением безопасности, выходящим в рамках программы Patch Tuesday. Что касается уязвимости Chrome, то она уже была устранена в последней версии обозревателя.

Источник: