Mobiln├ę Spr├ívy, Gadgety, Blogy's Secenziami

Softv├ęr SteelSeries m├í tie┼ż chybu, ktor├í v├ím d├íva administr├ítorsk├ę pr├íva Windows


Nieko─żko ┼ípecialistov na po─Ź├şta─Źov├║ bezpe─Źnos┼ą to podozrievalo, teraz je to potvrden├ę: Softv├ęr Razer nie je jedin├Ż, kto po─Źas in┼ítal├ície z├şskal privil├ęgi├í na ├║rovni SYST├ëMU.

In┼ípirovan├Ż Jonhatov├Żm objavom, Lawrence Amer vykonal svoje vlastn├ę testovanie a zistil, ┼że chyba je zneu┼żite─żn├í aj so softv├ęrom SteelSeries. A nie je potrebn├ę vlastni┼ą zariadenie zna─Źky.

Pre─Ź├ştajte si tie┼ż:
Chyba v├ím umo┼ż┼łuje prihl├ísi┼ą sa ako spr├ívca Windows v─Ćaka… my┼íi Razer

Zranite─żnos┼ą pr├ştomn├í aj v softv├ęri SteelSeries

Po zisten├ş zranite─żnosti, ktor├í umo┼żnila z├şska┼ą privil├ęgi├í na ├║rovni SYST├ëMU pri in┼ítal├ícii softv├ęru Synapse od spolo─Źnosti Razer, sa v├Żskumn├şci rozhodli pozrie┼ą sa na in├Żch in┼ítal├ítorov. Jeden z nich, Lawrence Amer, vysk├║┼íal experiment s kl├ívesnicou SteelSeries. Rovnako ako v pr├şpade Razer, aj pri pripojen├ş zariadenia Razer sa automaticky spust├ş in┼ítal├ícia softv├ęru, ktor├Ż sa pou┼ż├şva na konfigur├íciu mo┼żnost├ş pre perif├ęrne zariadenia.

T├íto chyba je v princ├şpe rovnak├í, ale nevyu┼ż├şva sa rovnak├Żm sp├┤sobom. Softv├ęr SteelSeries skuto─Źne ned├íva pou┼ż├şvate─żovi mo┼żnos┼ą interakcie, ako to rob├ş Synapse t├Żm, ┼że mu umo┼ż┼łuje vybra┼ą si miesto in┼ítal├ície. Pon├║ka v┼íak odkaz na pre─Ź├ştanie z├ísad ochrany osobn├Żch ├║dajov zna─Źky. Kliknut├şm na┼ł sa zobraz├ş v├Żzva na v├Żber aplik├ície, do ktorej chcete pristupova┼ą. Zvoli┼ą je mo┼żn├ę len predvolen├Ż prehliada─Ź Internet Explorer v pr├şpade Amer testu.

Pri otvoren├ş odkazu prehliada─Źom si uvedomil, ┼że be┼ż├ş ako SYST├ëM. Tak┼że v┼íetko, ─Źo musel urobi┼ą, bolo klikn├║┼ą prav├Żm tla─Źidlom my┼íi v programe Internet Explorer a vybra┼ą ÔÇ×ulo┼żi┼ą akoÔÇť, ─Ź├şm sa otvor├ş Prieskumn├şk s├║borov a umo┼żn├ş mu otvori┼ą pr├şkazov├Ż riadok. ÔÇ×WhoamiÔÇť mu potvrdilo, ┼że teraz m├í privil├ęgi├í na ├║rovni SYST├ëMU.

Pre─Ź├ştajte si tie┼ż:
Gigabyte, Intel a AMD vi─Ć 7 GB d├┤vern├Żch dokumentov zverejnen├Żch online

Zariadenia, ktor├ę je mo┼żn├ę simulova┼ą pomocou telef├│nu s Androidom

Na vyu┼żitie tejto zranite─żnosti nie je potrebn├ę vlastni┼ą zariadenie ochrannej zn├ímky. Istv├ín T├│th, ┼ípecialista na penetra─Źn├ę testovanie, zverejnil open source skript na simul├íciu zariadenia pou┼ż├şvate─żsk├ęho rozhrania na telef├│ne s Androidom. Umo┼ż┼łuje v├ím simulova┼ą zariadenie Razer alebo SteelSeries jednoduch├Żm zapojen├şm telef├│nu s Androidom do USB, a tak vykona┼ą ├║tok eskal├ície privil├ęgi├ş.

Lawrence Amer nedok├ízal kontaktova┼ą SteelSeries, aby ich informoval o svojom objave. Potvrdil to v┼íak hovorca BleepingComputer ┼że spolo─Źnos┼ą si bola vedom├í tejto zranite─żnosti a pracuje na aktualiz├ícii svojho softv├ęru, aby ju odstr├ínila.

Zdroje: BleepingComputer
, 0xsp