Chán với sự keo kiệt của Microsoft – các nhà nghiên cứu bảo mật công khai luôn lỗ hổng Zero-day của Windows
Câu chuyện bắt đầu từ việc một nhà nghiên cứ bảo mật phát hiện ra một lỗ hổng zero-day mới trên Windows. Lỗ hổng này có thể giúp leo thang độc quyền nội bộ, giúp hacker chiếm quyền admin trên Windows 10, Windows 11 và Windows Server.
Abdelhamid Naceri là nhà nghiên cứu phát hiện ra lỗ hổng nói trên. Hiện nó được gán mã theo dõi CVE-2021-41379 và đã được Microsoft vá trong bản cập nhật Patch Tuesday tháng 11.
Tuy nhiên, không bao lâu sau, Naceri lại tìm ra cách để vượt qua bản vá của Microsoft khai sinh ra một lỗ hổng zero-day leo thang đặc quyền khác nguy hiểm hơn. Điều đáng nói là lần này Naceri không báo cáo cho Microsoft nữa mà công khai luôn phương thức khai thác lỗ hổng trên GitHub. Phương thức khai thác này có thể hoạt động trên tất cả các phiên bản Windows.
Tại sao Naceri không báo cáo lỗi cho Microsoft?
Theo chia sẻ của Naceri, anh không báo cáo lỗi cho Microsoft vì thất vọng với cách làm việc của họ. Đầu tiên, Microsoft đã giảm mức thưởng của chương trình săn lỗi nhận thưởng xuống quá thấp.
“Chương trình săn lỗi nhận thưởng của Microsoft biến thành bãi rác từ tháng 4/2020. Tôi sẽ không công khai phương thức khai thác nếu Microsoft không giảm mức tiền thưởng”, Naceri chia sẻ.
Thực tế, Naceri không đơn độc. Nhiều nhà nghiên cứu bảo mật đã tỏ ra thất vọng với cách làm việc của gã khổng lồ phần mềm.
“Theo chương trình săn lỗi nhận thưởng mới của Microsoft, một trong những lỗ hổng zero-day mà tôi phát hiện ra bị giảm giá trị từ 10.000 USD xuống chỉ còn 1.000”, nhà nghiên cứu đứng sau tài khoản MalwareTech chia sẻ.
Một nhà nghiên cứu khác cũng lên tiếng phản đối khi lỗ hổng thực thi mã từ xa Hyper-V có thể được khai thác bởi tài khoản khách mà chỉ nhận được 5.000 USD tiền thưởng.
Về lỗ hổng mới, Naceri khuyên mọi người nên chờ bản vá từ Microsoft. Naceri cảnh báo người dùng không nên tự sửa lỗ hổng bằng cách vá các lỗi nhị phân vì nó có thể phá vỡ trình cài đặt.
Lương Thuận – Tổng hợp từ 7Zone
ĐĂNG KÝ TƯ VẤN HỌC LẬP TRÌNH TẠI FUNiX
Bài liên quan
Bài liên quan
Semantic Caching là gì? Khi nào có thể giảm chi phí LLM
Semantic Caching tìm truy vấn đã lưu gần nghĩa với yêu cầu mới để dùng lại phản hồi thay vì gọi model. Cơ chế thường dùng embedding và tìm kiếm tương đồng, nhưng câu gần nghĩa chưa chắc phù hợp...
Dùng AI tóm tắt tài liệu: cách giữ đúng ý và không bỏ sót nguồn
Dùng AI tóm tắt tài liệu giúp rút ý chính hoặc tìm thông tin khi nêu rõ mục đích. Yêu cầu trích nguồn, tách nội dung gốc khỏi suy luận, kiểm tra số liệu và ngoại lệ trên bản gốc....
Viết unit test bằng AI: tạo ca kiểm thử và phát hiện khoảng trống
Viết unit test bằng AI giúp gợi ý test từ hợp đồng hàm, ví dụ và nhánh logic. Xem code tạo được là bản nháp: kỹ sư xác minh assertion, thêm ca biên, chạy test và đối chiếu yêu cầu....
AI Agent cho pháp chế nội bộ: hỗ trợ gì và giới hạn ở đâu?
AI Agent cho pháp chế nội bộ có thể tra cứu trong kho tài liệu được phép, trích điều khoản, lập checklist và soạn bản nháp. Chuyên viên cần xác minh nguồn, phiên bản và ngữ cảnh trước khi dùng....
Model Gateway là gì? Khi nào ứng dụng AI cần một lớp quản lý model?
Model Gateway là lớp trung gian quản lý lời gọi từ ứng dụng tới một hoặc nhiều model AI. Nó có thể áp dụng xác thực, quota, routing, timeout và telemetry theo cấu hình. Gateway phù hợp khi nhiều ứng...
Kỹ sư IT là gì? Công việc, kỹ năng và hướng bắt đầu
Kỹ sư IT là gì? Công việc, kỹ năng và hướng bắt đầu Kỹ sư IT là cách gọi rộng cho người thiết kế, xây dựng, triển khai hoặc duy trì hệ thống công nghệ thông tin. Cụm từ này...
Kỹ năng làm việc nhóm của kỹ sư phần mềm gồm những gì?
Kỹ sư phần mềm làm việc nhóm hiệu quả bằng cách làm rõ yêu cầu, chia sẻ thay đổi qua Git, review có căn cứ, kiểm thử và ghi lại quyết định. Báo sớm khi bị chặn giúp đồng đội...
HTML là tên viết tắt của cụm từ nào? Giải thích dễ hiểu
HTML là tên viết tắt của cụm từ nào? HTML là viết tắt của HyperText Markup Language, nghĩa là ngôn ngữ đánh dấu siêu văn bản. HTML dùng các phần tử để tổ chức nội dung trang web như tiêu...
Đăng ký nhận bản tin
×
×
Bình luận (0
)