由于 Synapse 应用程序中的错误,Razer 鼠标可能会导致任何人在 Windows 中拥有管理员权限。 Windows 安全一直是那些声称系统不够安全的人的主力之一,事实是他们对这样的消息是正确的,关于一个允许在安装时获得管理员权限的错误Razer 无线鼠标的驱动程序。
一个不需要单击可疑文件或从非官方来源安装程序的新漏洞。 一项将计算机安全置于危险之中的漏洞,尽管要利用它,攻击者必须对计算机进行物理访问,但它仍然表明 Microsoft 在提高其系统安全性方面仍有很多工作要做。
在这种情况下,通过 Synapse 应用程序安装 Razer 无线鼠标的驱动程序时会出现问题。 该工具可让您配置所有参数以及自定义功能和控件以方便使用鼠标等,并受益于“即插即用”系统,该系统可通过“将它们插入到 PC 中。
连接 Razer 鼠标后,Synapse 应用程序会自动运行。 使用 RazerInstaller.exe 文件执行正常安装,但也允许用户打开资源管理器窗口来选择安装驱动程序的位置。 这就是问题的开始,因为用户可以打开 PowerShell 并访问计算机的几乎任何功能。
需要本地管理员并拥有物理访问权限?
– 插入 Razer 鼠标(或加密狗)
– Windows 更新将以系统身份下载并执行 RazerInstaller
– 滥用提升的资源管理器通过 Shift+右键单击打开 Powershell尝试联系 @雷蛇,但没有答案。 所以这是一个免费赠品 pic.twitter.com/xDkl87RCmz
— 乔恩 (@j0nh4t) 2021 年 8 月 21 日
该漏洞已被用户发现并发布在推特上 @ j0nh4t,他决定在联系 Razer 并一开始没有得到回应后,将这个安全漏洞的存在公之于众。 在这篇文章之后,Razer 发布了一份声明,声明他们正在对应用程序进行更改以限制此用例。
声明说:“我们已经意识到,我们的软件在一个非常具体的用例中,在安装过程中为用户提供了更广泛的计算机访问权限。 我们已经调查了该问题,目前正在对安装应用程序进行更改以限制此用例,并将很快发布更新版本。 使用我们的软件(包括安装应用程序)不会提供未经授权的第三方访问您的计算机。”
利用此漏洞需要 Razer 鼠标和个人计算机访问权限,这两个限制可以最大限度地减少漏洞的影响,但可能会让我们想知道有多少此类漏洞会影响其他“即插即用”设备。