En forskare har publicerat fungerande exploitkod för en oåtgärdad Windows-sårbarhet som ger en angripare SYSTEM-åtkomst, och Microsoft uppger att man utreder saken. Företaget rapporterar att man ännu inte har sett några attacker. Ändå förändrar en offentlig nolldagsexploit för SYSTEM-åtkomst i Windows tidslinjen: när koden väl är fritt tillgänglig blir det enklare för andra att studera, kopiera och anpassa den.
Det här inlägget går igenom vad som har rapporterats, varför typen av sårbarhet spelar roll och vad du rimligen kan göra medan du väntar på en åtgärd.
Vad Windows-nolldagsexploiten för SYSTEM-åtkomst gör och vad vi vet hittills
Rapporteringen är kortfattad, så här är vad som är bekräftat:
- En forskare har publicerat exploitkod för en Windows-sårbarhet.
- Sårbarheten är oåtgärdad, vilket är det som gör den till en nolldag.
- En lyckad exploatering ger SYSTEM-åtkomst, den högsta behörighetsnivån på en Windows-dator.
- Microsoft utreder problemet.
- Microsoft har ännu inte sett några attacker som utnyttjar den.
Vad vi inte vet är lika viktigt. Källan anger inte vilka Windows-versioner som påverkas, om ett datum för en patch har satts eller hur tillförlitlig koden är i olika konfigurationer. Vi kommer inte att gissa oss till dessa detaljer. Tills Microsoft publicerar en säkerhetsbulletin bör du behandla alla påståenden om omfattningen med försiktighet.
Varför SYSTEM-åtkomst spelar roll även utan en fjärrattack
Sårbarheter som ger SYSTEM-åtkomst beskrivs vanligtvis som behörighetseskaleringsbuggar. I klartext låter de någon som redan har fotfäste på en dator, till exempel ett konto med låga behörigheter eller en skadlig programvara, ta mycket mer kontroll än de borde ha. De låter inte i sig en främling ta sig in över internet.
Den distinktionen är användbar, men den bör inte leda till självbelåtenhet. Kontroll på SYSTEM-nivå kan göra det möjligt för en angripare att inaktivera säkerhetsverktyg, komma åt skyddade data, ändra inställningar och installera programvara som ligger kvar på enheten. Angripare kedjar ofta ihop buggar: en tar dem in genom dörren, till exempel via en skadlig nedladdning eller en nätfiskeuppsättning, och en behörighetsescaleringssårbarhet som denna ger dem nycklarna.
Så den realistiska risken för de flesta är indirekt. Exploiten spelar störst roll om något annat redan har gått fel på din enhet, eller om du delar en dator med andra, använder en arbetsdator eller kör programvara från källor du inte fullt ut litar på.
Hur detta passar in i mönstret av offentliga Windows-nolldagssläpp
Detta är inte en isolerad händelse. Forskare har upprepade gånger publicerat exploitkod för Windows-sårbarheter innan Microsoft hade levererat åtgärder, och vi har bevakat flera av dessa fall. MiniPlasma-nolldagen involverade också en offentligt släppt proof-of-concept för ett Windows-behörighetsescaleringsproblem som ger SYSTEM-åtkomst. Ett annat fall involverade en forskare med en väldokumenterad historia av att publicera exploiter, vilket täcks i vår rapport om hur Nightmare Eclipse släppte ännu en Windows-nolldag.
Den gemensamma nämnaren är gapet mellan avslöjande och åtgärd. Offentlig kod sänker ansträngningen som krävs för att andra ska bygga vidare på den, även när den ursprungliga forskaren inte har för avsikt att skada. Det är därför Microsofts uttalande om att man inte ser några attacker är lugnande men tillfälligt. Det beskriver nuet, inte en garanti.
Vad detta innebär för dig
För de flesta hemmaanvändare finns det ingen anledning till panik. Den här typen av sårbarhet kräver att en angripare redan kör kod på din dator. Ditt bästa skydd är att göra det första steget svårare och att begränsa skadan om det händer.
Om du hanterar datorer för en familj, ett litet företag eller ett team är prioriteringen något högre. Delade datorer och konton med breda behörigheter ger en behörighetsescaleringsbugg mer att arbeta med. Håll utkik efter Microsofts säkerhetsbulletin och tillämpa eventuella uppdateringar eller åtgärdsrekommendationer snabbt när de dyker upp.
Hur du minskar din risk tills Microsoft patchar
Du kan inte installera en åtgärd som inte finns ännu, men du kan minska din exponering:
- Håll Windows Update påslaget. När Microsoft släpper en patch vill du ha den snabbt. Håll också ditt antivirus och annan programvara uppdaterad.
- Begränsa administratörskonton. Använd ett standardkonto för dagligt arbete och behåll administratörsåtkomst för uppgifter som kräver det. Detta minskar vad skadlig programvara kan göra från början.
- Undvik ej betrodda filer. Var försiktig med e-postbilagor, crackad programvara, okända nedladdningar och länkar från okända avsändare, eftersom dessa är vanliga sätt att få det initiala fotfästet.
- Håll utkik efter officiell vägledning. Förlita dig på Microsofts egna säkerhetsbulletin med åtgärdssteg snarare än tredjepartspåståenden eller overifierade åtgärder.
- Säkerhetskopiera viktiga data. En färsk säkerhetskopia som lagras offline eller på en separat plats begränsar skadan av en eventuell kompromettering.
Summan av kardemumman
En offentlig Windows-nolldagsexploit för SYSTEM-åtkomst är en anledning till förnuftig försiktighet, inte alarm. Microsoft utreder och rapporterar inga attacker, men offentlig kod förkortar fönstret innan andra försöker använda den. Håll Windows Update påslaget, begränsa administratörskonton och undvik ej betrodda filer medan du väntar på en patch. För mer sammanhang kring liknande aktuella fall, läs vår bevakning av MiniPlasma-exploiten på SYSTEM-nivå och Nightmare Eclipse-släppen.
