Google Project Zero의 사이버 보안 연구원은 Microsoft가 6 월에 출시 한 보안 업데이트가 고위험 Windows 취약성을 완전히 차단하지 않았으며 일부 조정을 통해 여전히 악용 될 수 있음을 발견했습니다.

5 월에는이 고위험 에스컬레이션 취약점과 CVE-2020-0986 (현재 CVE-2020-17008) 이라는 원래 CVE 코드 및 다른 IE 관련 취약점이 결합되어 공격자가 원격으로 임의 코드 를 실행할 수 있습니다. 당시에는 실제로이 두 가지 제로 데이 취약점을 사용하여 공격을 시작하는 해커 그룹이있었습니다.

CVE-2020-17008이 여전히 악용 될 수 있음을 발견 한 보안 연구원 인 Maddie Stone 은 이제 공격자가 포인터 (포인터)를 보내는 대신 Windows 커널의 권한을 높이기 위해 변수를 보낼 수 있다고 말했습니다 . Microsoft의 보안 업데이트를 적용 할 수없는 이유는 포인터를 변수로만 전환 할 뿐이므로이 함수의 매개 변수를 계속 조정할 수 있기 때문입니다.

Maddie Stone은 브리핑 에서이 취약점을 유발하는 방법을 설명 했습니다 . Microsoft의 마지막 업데이트 후에도이 취약점이 여전히 사용 가능함을 증명하기 위해 그녀는 보고서 및 실행 방법에 대한 지침에서 원래 Kaspersky에서 수정 된 PoC 코드를 공개했습니다.

Microsoft는 9 월 24 일이 취약점을 재사용 할 수 있다는보고를 받고 하루 후에 문제를 확인했습니다. 원래 마이크로 소프트는 올해 11 월에이 취약점을 해결하기위한 업데이트를 출시 할 계획 이었지만 테스트 과정에서 다른 문제가 발견되어 다음 패치 화요일 인 2021 년 1 월 12 일로 업데이트를 연기해야했습니다.

Google Project Zero는 취약점 공개 기간이 90 일입니다. 관련 조직 / 직원이 패치 업데이트가 이후 14 일 이내에 시작될 수 있다고 보장 할 수있는 경우 90 일을 기준으로 14 일 더 연기 할 수도 있습니다. Microsoft가 1 월 6 일 이전에는 관련 패치 업데이트를 릴리스 할 수 없다고 말했듯이 마감일을 맞출 수 없었습니다.