Svelato un problema di sicurezza di Windows 10, il rimedio non c’è ancora

L'utilità di pianificazione di Windows 10 ha una falla nella sicurezza per la quale non è stata pubblicata alcuna correzione. È potenzialmente pericolosa, per fortuna non è facile da sfruttare per gli hacker.

Windows 10 è esposto a un cosiddetto exploit “zero-day”, ossia a una falla nella sicurezza per la quale non esiste al momento un rimedio. Si tratta della quinta vulnerabilità di questo tipo dalla fine di agosto ad oggi. L’ha scoperta un ricercatore per la sicurezza noto come SandboxEscaper, rivelando che potrebbe permettere a un utente non autorizzato di ottenere privilegi tali da prendere il controllo completo sui alcuni file, cosa che in genere hanno solo utenti con privilegi di alto livello.

Utilità di pianificazione di Windows

 

Senza entrare troppo nei tecnicismi, il rischio è che vengano compromesse le attività dell’utilità di pianificazione di Windows 10. Si tratta dello strumento di Windows che serve per programmare operazioni da effettuare sul PC, come l’avvio automatico di determinati programmi, la pianificazione di interventi di manutenzione, degli aggiornamenti per la sicurezza o del backup dei file. Viste le funzioni di questo strumento, è facile intuire come una vulnerabilità potrebbe essere sfruttata per manomettere componenti critici del sistema operativo.

L’esperto di sicurezza Will Dormann ha testato l’exploit e ha confermato che funziona sulle versioni complete e aggiornate di Windows 10, sia a 32 sia a 64-bit, nonché con Windows Server 2016 e 2019. Non funziona su Windows 8 e Windows 7.

 

SandboxEscaper just released this video as well as the POC for a Windows 10 priv esc pic.twitter.com/IZZzVFOBZc

— Chase Dardaman ???? DerbyCon (@CharlesDardaman) May 21, 2019

La buona notizia è che per creare un software malevolo capace di approfittare di questa vulnerabilità occorre conoscere una combinazione di nome utente e password valida su PC nello specifico. Un ostacolo non da poco, che dovrebbe dare a Microsoft il tempo per chiudere la falla senza che si verifichino danni diffusi.

L’aspetto inquietante della vicenda è che SandboxEscaper sostiene di avere “nel cassetto” altri quattro exploit “zero day” di Windows, non ancora scoperti, che intende mettere in vendita al miglior offerente, invece che segnalarli in privato all’azienda produttrice per dare modo di porvi rimedio. Il sito The Register ha chiesto un commento a Microsoft al riguardo ma finora non ha avuto risposta.