Dropbox ofiarą luki zero-day, która zagraża instalacjom na komputerach z systemem Windows

Jesteśmy coraz bardziej zaniepokojeni bezpieczeństwem naszych danych oraz oferowanym przez aplikacje i narzędzia, których używamy na naszych komputerach. Bez względu na to, czy korzystamy z komputera stacjonarnego, telefonu komórkowego, czy platform opartych na chmurze, zwracamy uwagę na wszelkie zagrożenia, które mogą się pojawić w tym zakresie, na przykład Facebook lub Twitter .

To teraz Dropbox, popularna aplikacja, która pozwala nam mieć miejsce w chmurze, która ma lukę zero-day, która nie została jeszcze naprawiona definitywnie.Awaria, która może narazić komputery z systemem Windows korzystające z Dropbox i na którą na razie istnieje tylko tymczasowe rozwiązanie.

Brak ostatecznej łatki

"

Omawiana luka umożliwia atakującemu dostęp do zastrzeżonych uprawnień w folderze System>, jednej z najbardziej wrażliwych sekcji systemu. Błąd polegający na tym, że narzędzie Dropbox Updater (DropboxUpdater), które jest instalowane jako usługa z dwoma zaplanowanymi zadaniami uruchamianymi z uprawnieniami systemowymi i testami przeprowadzonymi przez badaczy, umożliwia uzyskanie powłoki wiersza poleceń z uprawnieniami SYSTEMOWYMI. "

Awaria została zgłoszona do firmy, do Dropbox, we wrześniu, w okresie wskazanym dla tych przypadków, ale po 90 dniach nadal nie ma rozwiązanialub nie oferowałem tego. Jest tylko jedno oświadczenie od Dropbox odnoszące się do problemu i informujące, że pracują nad rozwiązaniem, które powinno pojawić się w nadchodzących tygodniach:

Na razie nie ma oficjalnego rozwiązania firmy i aby naprawić, nawet tymczasowo, musisz skorzystać z obejścia poprzez 0Patch . Jest to platforma oferująca mikrołatki na błędy, które nie zostały jeszcze oficjalnie poprawione. Jak mówi Mitja Kolsek, CEO firmy Acros Security

Ta poprawka jest tymczasowa, jak sami ostrzegają. Naprawia tylko wrażliwą część i sprawia, że ​​ponowne uruchomienie komputera nie jest konieczne. Jest to jednak tylko rozwiązanie tymczasowe, dopóki Dropbox nie wyda aktualizacji, której można używać lokalnie, ale która może również pozwolić na atak łańcuchowy.

Źródło | Piszczący komputer.