Kontrola użytkowników w Viście zhakowana

Robert Paveza, programista zajmujący się bezpieczeństwem systemów komputerowych, dowiódł, iż nawet użytkownik posługujący się w Viście kontem o ograniczonych uprawnieniach może uruchomić w systemie złośliwy kod. Potwierdzeniem tych słów ma być opublikowany przez niego dokument, w którym opisuje on, jak do zainfekowania Visty wykorzystał mechanizm User Account Control.

Paveza wskazuje, iż nawet w przypadku kont z ograniczonymi uprawnieniami użytkownika niektóre działające w systemie programy mają wyższe uprawnienia, a złośliwy kod można "podpiąć" pod "oficjalny" proces systemowy. Programista posłużył się przykładem popularnej gry Pac-Man. Pisze on, iż gdyby użytkownik pobrał z Internetu i uruchomił spreparowaną grę, owszem - mógłby w nią grać, ale w tle działałby złośliwy kod. Użytkownik, klika w utworzony np. w menu Start skrót, program o wyższych uprawnieniach jest uruchamiany, a złośliwy kod ładowany do pamięci. Autoryzacja aplikacji o wyższych uprawnieniach jest równoznaczna autoryzacji "szkodnika".

Opisana przez Pavezę metoda wykorzystania słabości systemu UAC była już sygnalizowana przez inną specjalistkę ds. bezpieczeństwa, Joannę Rutkowską, w lutym br. (przypomnijmy, iż Rutkowska wykryła, że w Viście każdy nowo instalowany program otrzymuje od systemu UAC przywileje administratora). Jej zdaniem różne poziomy uprawnień użytkowników - tzw. poziomy integracji - dopuszczają możliwość ominięcia systemu UAC w pewnych okolicznościach.

Więcej informacji: PC Advisor

Dokument Roberta Pavezy w formacie PDF dostępny jest na stronie robpaveza.net.


Zobacz również