.hd-box .hd-fr

下载后无需交互即可窃取信息,微软悄悄修复 Win10/11 .theme 主题文件漏洞 CVE-2024-21320

2024-03-09 20:20IT之家(漾仔)14评

IT之家 3 月 9 日消息,安全机构 Akamai 日前公布了微软 Win 10/11 主题系统中一项名为 CVE-2024-21320 的漏洞,该漏洞 CVSS 评分为 6.5,允许黑客使用特制的 .theme 主题文件远程执行代码

据介绍,微软 Windows 资源管理器会默认预加载 .theme 主题的缩略文件,因此给予了黑客可乘之机,当黑客只需要将相关主题缩略文件参数指向恶意地址,Windows 资源管理器便会在加载缩略文件时连接黑客指定的远程 UNC 路径,进而远程执行代码

▲ 图源 Akamai 安全报告(下同)

IT之家注意到,微软已经在 2024 年 1 月份的 Windows 10/11 累积更新中缓解了相关漏洞,在相关更新中,微软引入路径验证来对 UNC 进行验证,同时根据系统策略选择是否允许使用 UNC 路径,同时引入了一项名为“DisableThumbnailOnNetworkFolder”的注册表项,允许禁用网络缩略图来降低风险。

广告声明:文内含有的对外跳转链接(包括不限于超链接、二维码、口令等形式),用于传递更多信息,节省甄选时间,结果仅供参考,IT之家所有文章均包含本声明。

下载IT之家APP,分享赚金币换豪礼
相关文章
大家都在买广告
热门评论
查看更多评论