Bài học rút ra chính
- Có một lỗi trong Windows 10 và Windows 11 mà Microsoft không thể khắc phục mặc dù hai lần thử trước đó.
- Bản sửa lỗi không chính thức đã được dự án 0patch phát hành miễn phí.
-
Các dự án như 0patch giúp bảo vệ máy tính của bạn cho đến khi có bản sửa lỗi chính thức cho lỗ hổng bảo mật.
Phải mất một bản vá không chính thức để sửa một lỗ hổng trong Windows 10 và Windows 11 mà Microsoft không thể khắc phục mặc dù đã có một vài nỗ lực trong vài tháng qua.
Về mặt kỹ thuật được phân loại là một lỗ hổng nâng cấp đặc quyền, lỗi này cho phép những kẻ tấn công trở thành quản trị viên nếu họ có quyền truy cập vật lý vào máy tính. Điều thú vị là Microsoft đã sửa lỗi lần đầu tiên vào tháng 8 năm 2021, trước khi nhà nghiên cứu phát hiện ra rằng bản sửa lỗi đã bị hỏng. Sau đó Microsoft đã vá lại nó vào tháng 1 năm 2022, nhưng bản sửa lỗi thứ hai này cũng không hiệu quả.
"Thật không may, nó phổ biến hơn bất kỳ nhà cung cấp nào khi cố gắng sửa một lỗ hổng bảo mật, chỉ để mọi người phát hiện ra rằng bản sửa lỗi không hoàn chỉnh như bình thường," Will Dormann, Lỗ hổng bảo mật Nhà phân tích tại CERT / CC, nói với Lifewire trong một tin nhắn trực tiếp trên Twitter.
May mắn lần thứ ba
Lỗi được phát hiện bởi nhà nghiên cứu bảo mật Abdelhamid Naceri, người sau đó đã bác bỏ các bản vá lỗi của Microsoft là không hiệu quả. Để chứng minh cho tuyên bố của mình, Naceri đã viết cái được gọi là mã bằng chứng khái niệm để chứng minh lỗ hổng bảo mật vẫn có thể bị khai thác.
Mitja Kolsek, người đồng sáng lập của dự án 0patch đã phát hành bản sửa lỗi không chính thức, đã nói với Lifewire qua email rằng ân huệ duy nhất để cứu là lỗi không thể được khai thác từ xa qua internet. Điều này có nghĩa là những kẻ tấn công sẽ cần quyền truy cập vật lý vào máy của bạn hoặc tìm cách lừa mọi người chạy mã lây nhiễm của họ để quản lý máy tính của họ.
Phá lỗi về mặt kỹ thuật, Kolsek cho biết các lỗi về bản chất này là "khó sửa chữa" và nhóm của anh ấy đã tìm thấy nhiều lỗi như vậy trong quá khứ. Kolsek nói: “Công bằng mà nói, nếu bất kỳ ai trong chúng tôi cố gắng sửa lỗi này mà không có kiến thức về các lỗi tương tự, chúng tôi có lẽ cũng đã sửa sai ít nhất hai lần.
Naceri đã gửi một tin nhắn trực tiếp trên Twitter tới Lifewire để xác nhận rằng bản sửa lỗi do 0patch đưa ra đã giải quyết thành công sự cố. Theo các báo cáo, Microsoft đã đưa ra một tuyên bố thừa nhận bản vá lỗi và sẽ thực hiện các hành động theo yêu cầu để bảo vệ khách hàng của mình.
Quản lý bản vá
Các dự án như 0patch có vẻ phản trực giác vì các nhà cung cấp phần mềm như Microsoft thường xuyên đưa ra các bản cập nhật để khắc phục sự cố với phần mềm của họ.
Kolsek giải thích rằng thường có rất nhiều thời gian để xác định lỗ hổng bảo mật và đưa ra bản sửa lỗi. Các lỗ hổng đã biết mà không có bản sửa chữa được gọi là zero-days và những kẻ tấn công thường biến một lỗ hổng vừa được công bố thành một vụ khai thác nhanh hơn nhiều so với các nhà cung cấp phần mềm lớn có thể phản hồi.
"Khi chúng tôi gặp một lỗ hổng như vậy, chúng tôi cố gắng tái tạo nó trong phòng thí nghiệm của mình và tự tạo bản vá cho nó. Sau khi hoàn thành bản vá, chúng tôi sẽ gửi nó cho tất cả người dùng 0patch thông qua máy chủ của chúng tôi và trong vòng 60 phút, nó được áp dụng trên tất cả các hệ thống được bảo vệ bằng 0patch, "Kolsek giải thích.
Và cũng giống như bản sửa lỗi cho lỗ hổng được xác định bởi Naceri, 0patch không tính phí các bản vá của nó cho đến khi có bản sửa lỗi chính thức từ Microsoft.
0patch cũng giúp bảo mật các phiên bản Windows phổ biến nhưng không được hỗ trợ, chẳng hạn như Windows 7. Nó thậm chí còn hỗ trợ một số phiên bản Windows 10 cũ hơn không nhận được các bản vá chính thức từ Microsoft hoặc các bản cập nhật có giá cao, giữ chúng ngoài tầm với của những người bình thường, những người sau đó tiếp tục chạy các hệ thống không được bảo vệ.
Kolsek nhấn mạnh rằng trên các phiên bản Windows vẫn được hỗ trợ, mọi người nên coi 0patch là một bổ sung cho các bản vá chính thức hơn là một giải pháp thay thế, đồng thời nói thêm rằng 0patch hoạt động tốt nhất trên các máy tính đã cài đặt tất cả các bản vá chính thức.
