谷歌“圣诞礼物”：发现Windows 10 中高严重度的权限提升漏洞的概念验证代码
外媒 MSPoweruser 报道，谷歌的 Project Zero 团队发布了 Windows 10 中一个高严重度的权限提升漏洞的概念验证代码。
获悉，该漏洞涉及 splwow64.exe Windows 进程，谷歌发现一个恶意进程可以向 splwow64.exe 发送本地过程调用（LPC）消息，攻击者可以通过该消息向 splwow64 的内存空间中的任意地址写入一个任意值。
事实上，微软在今年 6 月份已经修补了这个缺陷，但谷歌表示微软的补丁是不完整的。微软显然已经将指针改为偏移值，这意味着仍然可以利用偏移值进行攻击。
谷歌在今年 9 月 24 日向微软披露了这个问题，在错过了 11 月的周二补丁后，微软没有在 90 天内打上补丁，导致了谷歌向外界进行披露。
关于该漏洞的细节可以在谷歌 Project Zero 博客上找到。微软目前计划在 2021 年 1 月 12 日修补该漏洞。
责任编辑：PSY
声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表电子发烧友网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。
举报投诉
-
谷歌
+关注
关注
27文章
6244浏览量
110252 -
WINDOWS
+关注
关注
4文章
3694浏览量
93219 -
漏洞
+关注
关注
0文章
205浏览量
15891 -
权限
+关注
关注
0文章
13浏览量
7424
发布评论请先 登录
相关推荐
热点推荐
ZeroNews basic auth policy: 0代码为你的HTTP站点追加安全可控的基本权限验证能力
basic auth （基本权限验证）是HTTP标准协议在 RFC 7235 条中定义的一层基本权限控制规范，当外部请求访问设定了basic auth 规则的站点或者url时，会强制要求输入指定
行业观察 | Windows 10于本月终止服务支持，微软发布10月高危漏洞更新
已被实际利用的零日漏洞，以及多个CVSS评分高达9.9的关键远程代码执行漏洞。随着Windows10于本月终止服务支持，IT团队面临关键的更新周期，需重点关注身份认
行业观察 | 微软发布高危漏洞更新，涉及 Windows、Office、SQL Server 等多款产品
漏洞被评级为“严重”。企业应优先部署Windows10/11累积更新和SQLServer相关补丁，并检查SMB设置。漏洞类型分布-41个权限
行业观察 | Azure、RDP、NTLM 均现高危漏洞，微软发布2025年8月安全更新
-CVE-2025-53779：WindowsKerberos漏洞，允许攻击者将权限提升至域管理员。✦13个严重漏洞：-9个远程
行业观察 | VMware ESXi 服务器暴露高危漏洞，中国1700余台面临勒索软件威胁
8.x版本，允许未经身份验证的远程攻击者在虚拟环境中执行任意代码、提升权限或传播勒索软件等。更令人担忧的是，该漏洞利用难度极低，且相关利用
Linux权限管理基础入门
在Linux的广阔天空中，权限管理犹如一只翱翔的雄鹰，掌控着系统的安全与秩序。掌握Linux权限，不仅能让你的系统管理更加得心应手，还能有效防止未授权访问和数据泄露。本文将带你深入探索Linux权限的奥秘，助你成为
小程序开发必须知道的5个技巧：提升效率与用户体验的权威指南
重复网络请求，提升离线体验。
四、
安全漏洞可能导致用户数据泄露甚至法律风险。
数据加密：敏感信息（如支付凭证）需通过HTTPS传输，并采用AES等算法加密存储。
权限控制：严格限制API调用
发表于 03-14 14:51
设备管理系统新范式：区块链存证+动态权限管理
企业面对数字化转型挑战，设备管理面临安全与灵活性问题。传统设备管理方案漏洞频出，数据易遭篡改，权限管理僵化。企业需构建区块链存证+动态权限管理方案，提升设备管理可信度、灵活性与效率，实
微软Outlook曝高危安全漏洞
近日，美国网络安全和基础设施安全局(CISA)发布了一项紧急安全公告，揭示了微软Outlook中存在的一个高危远程代码执行漏洞(CVE-2024-21413)。该漏洞的严重性不容忽视，
AMD与谷歌披露关键微码漏洞
近日，AMD与谷歌联合公开披露了一个在2024年9月发现的关键微码漏洞，该漏洞主要存在于AMD的Zen 1至Zen 4系列CPU中，特别是针对服务器/企业级平台的EPYC CPU。 这
windows搭建ftp服务器的步骤
的Windows版本支持IIS（Internet Information Services），因为IIS是Windows上常用的FTP服务器软件之一。Windows 10、
Code Review：提升代码质量与团队能力的利器
作者：京东物流 韩旭 1. 引言 Code Review（下文简称CR），即代码审查，是一种通过评审代码以发现并修正错误的实践。它不是一个新概念，但在软件开发中，它的重要性毋庸置疑。首
奥松电子建设粤港澳大湾区首个智能传感技术概念验证中心
近日，广州市科学技术局公布《2024年度概念验证中心认定名单》，广州奥松电子股份有限公司（以下简称“奥松电子”）建设的“广州市智能传感技术概念验证中心”成功入选，这是粤港澳大湾区首个智
英诺达发布全新静态验证产品，提升芯片设计效率
了重要一步，将为中国芯片产业的发展注入新的活力。 静态验证作为一种业界普遍使用的验证方法，通过对设计的源代码进行深入分析，能够发现设计中的潜在问题。与动态仿真
工商网监
评论