מזונות חשובים
- יש באג ב-Windows 10 ו-Windows 11 שמיקרוסופט לא הצליחה לתקן למרות שני ניסיונות קודמים.
- תיקון לא רשמי לבאג שוחרר על ידי פרויקט 0patch בחינם.
-
פרויקטים כגון 0patch עוזרים להגן על המחשב שלך עד שיהיה תיקון רשמי לפגיעות, אומרים מומחים.
נדרש תיקון לא רשמי כדי לתקן פגם ב-Windows 10 ו-Windows 11 שמיקרוסופט לא הצליחה לתקן למרות כמה ניסיונות במהלך החודשים האחרונים.
הבאג מסווג טכנית כפגם בהסלמה של הרשאות, הבאג מאפשר לתוקפים להפוך למנהלי מערכת אם יש להם גישה פיזית למחשב. מעניין שמיקרוסופט תיקנה את הבאג לראשונה באוגוסט 2021, לפני שהחוקר שגילה אותו מצא שהתיקון שבור. מיקרוסופט תיקנה אותו שוב בינואר 2022, אבל גם התיקון השני הזה נמצא כלא יעיל.
"זה, למרבה הצער, נפוץ יותר ממה שצריך להיות עבור כל ספק לנסות לתקן פגיעות, רק שאנשים יגלו שהתיקון אינו שלם כפי שהוא צריך להיות," Will Dormann, Vulnerability אנליסט ב-CERT/CC, אמר ל-Lifewire ב-DM בטוויטר.
Third Time Lucky
הבאג התגלה על ידי חוקר האבטחה עבד אלחמיד נצ'רי, שלאחר מכן דחה את התיקונים של מיקרוסופט כלא יעילים. כדי לגבות את טענתו, Naceri כתב את מה שמכונה קוד הוכחת מושג כדי להוכיח שעדיין ניתן לנצל את הפגיעות.
Mitja Kolsek, מייסדת שותפה של פרויקט 0patch ששחרר את התיקון הלא רשמי של הבאג, אמרה ל-Lifewire בדוא ל שהחסד היחיד הוא שאי אפשר לנצל את הבאג מרחוק דרך האינטרנט.המשמעות היא שתוקפים יצטרכו גישה פיזית למחשב שלך או למצוא דרך להערים על אנשים להפעיל את הקוד המדבק שלהם כדי לקחת אחריות על המחשב שלהם.
לפירוק הבאג מבחינה טכנית, קולסק אמר שפגמים מסוג זה הם "קשים לתיקון", והצוות שלו מצא הרבה פגמים כאלה בעבר. "למען ההגינות, אם מישהו מאיתנו ניסה לתקן את הפגם הזה בלי הידיעה שיש לנו כעת על פגמים דומים, כנראה שגם היינו מתקינים אותו בצורה שגויה לפחות פעמיים", אמר קולסק.
Naceri שלחה הודעה ישירה בטוויטר אל Lifewire כדי לאשר שהתיקון שהוצא על ידי 0patch פתר את הבעיה בהצלחה. על פי דיווחים, מיקרוסופט פרסמה הצהרה המכירה בתיקון 0 ותנקוט פעולה כנדרש כדי להגן על לקוחותיה.
ניהול תיקונים
פרויקטים כגון 0patch עשויים להיראות מנוגדים לאינטואיציה מכיוון שספקי תוכנה כמו מיקרוסופט מוציאים באופן קבוע עדכונים כדי לתקן בעיות בתוכנה שלהם.
Kolsek מסביר שבדרך כלל עובר הרבה זמן בין זיהוי פגיעות ועד מתן תיקון. נקודות תורפה ידועות שאין להן תיקון ידועות כאפס ימים, ותוקפים בדרך כלל הופכים פגיעות שפורסמה זה עתה לניצול הרבה יותר מהר ממה שספקי תוכנה גדולים יכולים להגיב.
"כאשר אנו נתקלים בפגיעות כזו, אנו מנסים לשחזר אותה במעבדה שלנו וליצור לה תיקון בעצמנו. לאחר ביצוע תיקון, אנו מספקים אותו לכל משתמשי 0patch דרך השרת שלנו, ובתוך 60 דקות, הוא מוחל על כל המערכות המוגנות 0patch", הסביר קולסק.
ובדיוק כמו התיקון לפגיעות שזוהתה על ידי Naceri, 0patch לא גובה תשלום עבור התיקונים שלו עד שיש תיקון רשמי מ-Microsoft.
0patch גם עוזר לאבטח גירסאות פופולריות אך לא נתמכות של Windows, כמו Windows 7. הוא אפילו תומך בכמה גרסאות קודמות של Windows 10 שאו שלא מקבלים תיקונים רשמיים ממיקרוסופט, או שהעדכונים מגיעים במחיר יקר, מרחיק אותם מהישג ידם של אנשים רגילים שאחר כך ממשיכים להפעיל מערכות לא מוגנות.
Kolsek הדגיש שבמהדורות Windows שעדיין נתמכות, אנשים צריכים לחשוב על 0patch כתוספת לתיקונים הרשמיים ולא על חלופה, והוסיפה שה-0patches פועלים בצורה הטובה ביותר במחשבים שבהם כל התיקונים הרשמיים מותקנים.
