谷歌“圣誕禮物”：發(fā)現(xiàn)Windows 10 中高嚴重度的權限提升漏洞的概念驗證代碼
外媒 MSPoweruser 報道，谷歌的 Project Zero 團隊發(fā)布了 Windows 10 中一個高嚴重度的權限提升漏洞的概念驗證代碼。
獲悉，該漏洞涉及 splwow64.exe Windows 進程，谷歌發(fā)現(xiàn)一個惡意進程可以向 splwow64.exe 發(fā)送本地過程調用（LPC）消息，攻擊者可以通過該消息向 splwow64 的內存空間中的任意地址寫入一個任意值。
事實上，微軟在今年 6 月份已經修補了這個缺陷，但谷歌表示微軟的補丁是不完整的。微軟顯然已經將指針改為偏移值，這意味著仍然可以利用偏移值進行攻擊。
谷歌在今年 9 月 24 日向微軟披露了這個問題，在錯過了 11 月的周二補丁后，微軟沒有在 90 天內打上補丁，導致了谷歌向外界進行披露。
關于該漏洞的細節(jié)可以在谷歌 Project Zero 博客上找到。微軟目前計劃在 2021 年 1 月 12 日修補該漏洞。
責任編輯：PSY
聲明：本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網立場。文章及其配圖僅供工程師學習之用，如有內容侵權或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
谷歌
+關注
關注
27文章
6257瀏覽量
111936 -
WINDOWS
+關注
關注
4文章
3705瀏覽量
94302 -
漏洞
+關注
關注
0文章
205瀏覽量
15968 -
權限
+關注
關注
0文章
14瀏覽量
7482
發(fā)布評論請先 登錄
相關推薦
熱點推薦
一文搞懂Linux權限體系
Linux權限體系是運維工作的基礎中的基礎。無論你管理的是單機還是集群，權限問題導致的故障占總故障量的相當比例。本文從一線運維視角出發(fā)，系統(tǒng)講解Linux權限模型的核心概念、常見場景、
行業(yè)觀察 | 微軟3月修復83個漏洞，多個高危漏洞被標記為高概率被利用
2026年3月微軟“補丁星期二”正式推送，本次共發(fā)布了83個微軟安全補丁，并重新發(fā)布了10個非微軟漏洞公告。此次更新覆蓋范圍廣泛，涉及Windows核心基礎設施、身份目錄服務、Office協(xié)作平臺
SonarQube代碼質量管理平臺詳解
代碼質量問題是技術債務的主要來源。一個未被發(fā)現(xiàn)的空指針異常可能在生產環(huán)境導致服務崩潰，一段存在SQL注入漏洞的代碼可能讓整個數(shù)據(jù)庫暴露在攻擊者面前。傳統(tǒng)的Code Review依賴人工
curl中的TFTP實現(xiàn)：整數(shù)下溢導致堆內存越界讀取漏洞
漏洞概述
在 curl 的 TFTP 協(xié)議實現(xiàn)中發(fā)現(xiàn)了一個漏洞，該漏洞可能導致 curl 或使用 libcurl 的應用程序在特定條件下，向惡意的 TFTP 服務器發(fā)送超出已分配內存塊
發(fā)表于 02-19 13:55
平安夜不被@，IT 人的圣誕“代班神器”
又到圣誕季。到處是圣誕的氣息，所有人的心思都飛向了聚會和禮物。除了——IT部門的你。你的圣誕愿望清單上，寫的不是香水、球鞋...而是：“求系統(tǒng)安分點！求警報別亂響！求能安心過完一次平安
愛立信與Ooredoo Qatar成功完成Automated Energy Saver概念驗證
愛立信與Ooredoo Qatar近日成功完成Automated Energy Saver功能概念驗證（PoC），展示了愛立信5G Advanced Energy Efficiency and Management愛立信軟件解決方案。
分析嵌入式軟件代碼的漏洞-代碼注入
及其后代衍生產品）很不擅長發(fā)現(xiàn)這樣的漏洞，因為想要實現(xiàn)精確的查找漏洞就需要完成整個程序的路徑敏感分析。
提升嵌入式代碼的分析工具
最近出現(xiàn)的
發(fā)表于 12-22 12:53
Termux中調試圣誕樹Python代碼
在Termux中調試Python代碼（以圣誕樹立例）非常簡單，核心分為環(huán)境準備、代碼編寫、運行調試三個步驟，下面一步步教你操作：
一、環(huán)境準備（首次使用需做）
Termux默認可能沒有Python
發(fā)表于 12-09 09:02
ZeroNews basic auth policy: 0代碼為你的HTTP站點追加安全可控的基本權限驗證能力
basic auth （基本權限驗證）是HTTP標準協(xié)議在 RFC 7235 條中定義的一層基本權限控制規(guī)范，當外部請求訪問設定了basic auth 規(guī)則的站點或者url時，會強制要求輸入指定
行業(yè)觀察 | Windows 10于本月終止服務支持，微軟發(fā)布10月高危漏洞更新
已被實際利用的零日漏洞，以及多個CVSS評分高達9.9的關鍵遠程代碼執(zhí)行漏洞。隨著Windows10于本月終止服務支持，IT團隊面臨關鍵的更新周期，需重點關注身份認
行業(yè)觀察 | 微軟發(fā)布高危漏洞更新，涉及 Windows、Office、SQL Server 等多款產品
漏洞被評級為“嚴重”。企業(yè)應優(yōu)先部署Windows10/11累積更新和SQLServer相關補丁，并檢查SMB設置。漏洞類型分布-41個權限
行業(yè)觀察 | Azure、RDP、NTLM 均現(xiàn)高危漏洞，微軟發(fā)布2025年8月安全更新
-CVE-2025-53779：WindowsKerberos漏洞，允許攻擊者將權限提升至域管理員。?13個嚴重漏洞：-9個遠程
行業(yè)觀察 | VMware ESXi 服務器暴露高危漏洞，中國1700余臺面臨勒索軟件威脅
8.x版本，允許未經身份驗證的遠程攻擊者在虛擬環(huán)境中執(zhí)行任意代碼、提升權限或傳播勒索軟件等。更令人擔憂的是，該漏洞利用難度極低，且相關利用
Linux權限管理基礎入門
在Linux的廣闊天空中，權限管理猶如一只翱翔的雄鷹，掌控著系統(tǒng)的安全與秩序。掌握Linux權限，不僅能讓你的系統(tǒng)管理更加得心應手，還能有效防止未授權訪問和數(shù)據(jù)泄露。本文將帶你深入探索Linux權限的奧秘，助你成為
評論