谷歌披露Windows零日漏洞被野蛮利用

Windows零日(尚未修补)被用作漏洞利用链的一部分,该漏洞利用链还包括Chrome零日(已修补)。

谷歌的安全研究人员今天披露了当前正在积极利用的Windows操作系统中的零日漏洞。

谷歌精英漏洞研究团队Project Zero的负责人Ben Hawkes表示,预计零日漏洞的修复时间为11月10日,也就是微软下一个补丁周二的日期。

霍克斯在推特上说,Windows零日攻击(跟踪为 CVE-2020-17087)被用作两次攻击的一部分,另外一个Chrome零日攻击(跟踪为 CVE-2020-15999)已被他的团队在上周披露

Chrome零日漏洞用于允许攻击者在Chrome中运行恶意代码,而Windows零日漏洞则是攻击的第二部分,从而允许威胁行为者逃脱Chrome的安全容器并在底层操作系统上运行代码-安全专家称沙盒逃生。

Google Project Zero小组上周通知了Microsoft,并给了公司7天的时间来修复该错误。由于Microsoft在指定时间内未发布补丁,因此详细信息已于今天发布。

目前,我们预计此问题的补丁将在11月10日发布。我们已经与Google威胁分析小组总监Shane Huntley(@ShaneHuntley)确认,这是针对性的利用,并且与美国大选相关的针对性无关。-Ben Hawkes(@benhawkes)

2020年10月30日

WINDOWS 7到WINDOWS 10受到影响

根据 Google的报告,零日漏洞是Windows内核中的一个错误,可以利用该错误以附加的权限提升攻击者的代码。

根据该报告,该漏洞会影响Windows 7和最新Windows 10版本之间的所有Windows版本。加入诺基亚Real Talk:2020年最受关注的通信服务提供商虚拟活动在11月10日的日历上标记出一个充满洞察力的议程,其中包括当今最有影响力和最受尊敬的未来主义者和技术专家,仅在Real Talk 2020上。诺基亚赞助 

还包括用于重现攻击的概念验证代码。

霍克斯没有提供有关谁在使用这两个零时区的详细信息。通常,大多数零时差是由国家发起的黑客组织或大型网络犯罪组织发现的。

根据同一份Google报告,这些攻击也得到了第二个Google安全团队,即Google的威胁分析小组(TAG)的确认。

Google TAG总监Shane Huntley说,这次袭击与美国大选无关。

Chrome零日补丁已在Chrome版本86.0.4240.111中进行了修补 。

这是Google第二次披露涉及Windows和Chrome零时差的双重攻击。在2019年3月,谷歌表示威胁参与者还将Chrome的零日(CVE-2019-5786)与Windows的零日(CVE-2019-0808)结合在一起。

*编译:Domino

*来自:zdnet