【一言不和就公開!】不爽微軟漏洞獎金從 2 萬砍到剩 2 千,研究員直接公開 Win 10 漏洞!

(本文經 unwire.hk 授權轉載,並同意 TechOrange 編寫導讀與修訂標題,原文標題為 〈嫌微軟減獎金直接發佈 Win 10 漏洞 研究員發現 system32 資料夾可被修改 〉。首圖來源:https://www.microsoft.com/zh-tw/windows)

【為什麼我們挑選這篇文章】最近一名研究人員就對外公佈了微軟 Windows 10 一個安全漏洞,可以讓沒有權限的人透過 Hyper-V 在電腦 systems32 資料夾中新增任何不能刪除或修改的檔案,包括惡意程式。而該研究員公布這個漏洞的原因,竟是因為不滿 Microsoft 最近將漏洞通報獎金由 2 萬降低至 2 千美元,甚至通報後亦未必受理,因此選擇索性將之公佈。(責任編輯:呂珈寧)

近年人們越來越重視自己的數據安全,最近一名研究人員就對外公佈了 Windows 10 一個安全漏洞,可以讓沒有權限的人透過 Hyper-V 在電腦 systems32 資料夾中新增任何不能刪除或修改的檔案,包括惡意程式。但目前 Windows 10 Pro 版本中的 Hyper-V 是關閉的,只有在開啟 Sandbox 功能時才會啟動。

最近美國一名長期從事截取漏洞的研究人員 Jonas Lykkegaard 向外公佈發現 Windows 10 一個安全漏洞, 只要 Windows 10 開啟 Hyper-V,就可以讓任何沒有權限的人在電腦的 systems32 資料夾中內新增任何檔案,包括惡意程式 ,而這個檔案一旦被寫入就不能刪除或修改。

Jonas Lykkegaard 指他只花 30 小時便找到這個漏洞,並稱 Microsoft 最近將漏洞通報獎金由 2 萬(約台幣 58.5 萬元)降低至 2 千美元(約台幣 5 萬 8 千元),通報後折合只能獲得 66 美元(約台幣 1930 元)的時薪實在不值,甚至通報後亦未必受理,因此選擇索性將之公佈 。雖然 Windows 10 Pro、企業(Enterprise)及教育(Education)版中的 Hyper-V 是關閉的,使用戶安下心來。但據外媒報道,若使用者開啟 Sandbox 功能,就會自動啟動 Hyper-V,因此也必須注意。

其實 Jonas Lykkegaard 早在 7 月已宣稱向 Microsoft 通報多個漏洞,總值超過 10 萬美元(約台幣 292 萬元),但他認為 Microsoft 表面上是希望爭取修補時間,實則上是不想付錢。他更指出自己已長達 7 個月沒拿到 Microsoft 任何獎金,因此才選擇逐次公開所有他通報的漏洞。

美國電腦緊急回應小組(CERT)研究人員 Will Dormann 回應認為,這個漏洞相當嚴重,若有駭客在他人的系統 systems32 資料內成功新增 WD.dll,將會導致嚴重後果。

(本文經 unwire.hk 授權轉載,並同意 TechOrange 編寫導讀與修訂標題,原文標題為 〈嫌微軟減獎金直接發佈 Win 10 漏洞 研究員發現 system32 資料夾可被修改 〉。首圖來源:https://www.microsoft.com/zh-tw/windows)

你可能有興趣

【安全性更新又出包】Win10 更新傳災情,修補漏洞卻登出用戶帳號
藍芽發現新漏洞:駭客能假冒裝置身分,繞過認證程序駭入使用者設備
不會 C 語言也可以是資安高手,學好 Python 就能和駭客大戰!


《AWS 企業高峰論壇》報名中!

鴻海、BenQ 如何做好企業數位轉型? 報名 11/5 (四) AWS 企業高峰論壇,匯聚各產業轉型領先者,掌握產業、技術實戰經驗!

點關鍵字看更多相關文章: