G Data

Telefonszám: +36-1-7824246
E-mail: info@v-detect.hu
Web: virusirto.hu

Hiba vagy beépített funkció?

Beépített parancssorok segítségével a helyi adminisztrátor átveheti az ellenőrzést egy másik felhasználó Windows fiókja felett, úgy, hogy még a jelszavát sem kell tudnia. ​A Microsoft álláspontja szerint ez nem biztonsági hiba.

Egy biztonsággal foglalkozó szakértő blogposztjában ismerteti azt a lehetőséget, melynek kihasználásával egy helyi adminisztrátor billentyűzet segítségével begépelhető parancssorok segítségével átveheti az ellenőrzést egy felhasználó fiókja felett. A helyi adminisztrátor nyilván adminisztrációs jogokkal felruházott, viszont a napi használat során többi felhasználótól eltérően nem férhet hozzá minden vállalati rendszerhez. Például a számlázási osztályon dolgozó alkalmazott gépéről hozzáfér a számlázási alkalmazáshoz, az adminisztrátor viszont saját felhasználói fiókjából nem.

Két szakértő is hibáról beszél

A feltárt sebezhetőség lehetővé teszi, hogy az adminisztrátor átvegye az ellenőrzést a felhasználó fiókja felett. Az ebédszüneten lévő alkalmazott gépére az adminisztrátor saját jelszavával bejelentkezhet, majd a parancssorok segítségével átveheti az ellenőrzést a korábban a gépre már bejelentkezett felhasználó fiókja felett. Ehhez nincs szükség a felhasználó jelszavára sem. Az admin hozzáférhet a gépen futó rendszerekhez, legyen az banki, számlázó megoldás. Bármit tehet az eltérített felhasználó nevében.

A hibát két, egymástól független biztonsági szakértőnek is sikerült reprodukálnia. Az első szakértő a Windows 7, Windows 10, Windows Server 2008 és Windows Server 2012 R2 rendszereken tesztelte ezt az eljárást, míg a másik vélemény szerint az összes támogatott Windows rendszer érintett.

A Zdnet-net nyilatkozó Microsoft értesült a szakértő felfedezéséről, álláspontja szerint nincs szó biztonsági sérülékenységről, hiszen a funkció használatához a kiszemelt gépen helyi adminisztrációs jogokra van szükség. A szakértő blogján is parázs vita indult arról, hogy a felfedezett biztonsági hiba valóban hiba, sokan egy újabb támadási lehetőségként emlegetik.
Az oldalt partnerünk szerkeszti, annak tartalmáért felelősséget nem vállalunk!