24. září letošního roku objevili bezpečnostní experti z Google Project Zero zranitelnost ve Windows 10 a dali Microsoftu standardních devadesát dnů na opravu, než zveřejní veškeré detaily.
Ve skutečnosti se ovšem nejednalo o novou chybu, ale zranitelnost, kterou už na jaře objevil Kaspersky a Microsoft ji opravil. Tedy opravil, inženýři z Redmondu pouze zamezili tomu, aby někdo použil postup od Kasperskyho, díra nicméně zůstala a Google zdokumentoval jinou cestu, jak ji využít.
Maddie Stone z týmu GPC popisuje zranitelnost:
Microsoft slíbil opravu v listopadové vlně záplat, jenže nakonec zjistil, že si vyžádá mnohem komplexnější zásah a poprosil Google o strpení s tím, že aktualizace dorazí až v lednu 2021. Tím by však Microsoft přesáhl nejen devadesátidenní okno, ale i dodatečné čtrnáctidenní prodloužení, na co už v Googlu nepřistoupili.
A tak symbolicky na Štědrý den vše prasklo s tím, že snad i zlí hackeři budou rozbalovat dárky a nebudou psát malware. V každém případě, Windows 10 jsou právě teď děravé a budou děravé až do ledna, než dorazí další vlna bugfixů.
Konkrétně jde o zranitelnost tiskového procesu splwow64.exe a systému zpráv LPC. Případný záškodník může pomocí LPC zneužít paměť splwow64.exe a s vyššími právy spustit vlastní kód. Třeba právě nějaký malware, který pak nepozorovaně pronikne do operačního systému.