Kamakailan lang ay inilunsad ng Microsoft ang isang bagong pag-update ng tampok na Windows 10. Sa malas, hindi pinansin ng kumpanya ang isang malaking kapintasan ng seguridad na umiiral sa Windows 10.

Ang kapintasan ay nakita sa mga advanced na setting ng Task scheduler. Ang kahinaan na ito ay nagpapahintulot sa mga hacker na makakuha ng kumpletong mga pribilehiyo sa pangangasiwa sa iyong mga file.

Ang isang mananaliksik na nagngangalang SandboxEscaper ay unang nakakita ng kahinaan at nai-post ito sa online. Dinala ito ng mananaliksik sa Github at nai-post ang kahinaan sa zero na araw sa platform.

Sa ngayon, hindi kinilala ng Microsoft ang pagkakamali sa seguridad sa loob ng Task scheduler. Kapag kinikilala ng kumpanya ang bug, isang security patch ay magagamit sa lalong madaling panahon.

Nakakagulat, ang isang gumagamit ng Twitter ay nagsiwalat ng zero-day na kahinaan target sa mga Windows 10 system na kamakailan-install ang Windows 10 v1903. Bukod dito, sinabi ng gumagamit na kahit sino ay madaling mapagsamantalahan ang kahinaan.

Maaari kong kumpirmahin na ito ay gumagana bilang-ay nasa isang ganap na naka-patched (Mayo 2019) Windows 10 x86 system. Ang isang file na dating kontrolado ng SYSTEM at TrustedInstaller ay nasa ilalim ng buong kontrol ng isang limitadong gumagamit ng Windows.

Gumagana nang mabilis, at 100% ng oras sa aking pagsubok. pic.twitter.com/5C73UzRqQk

- Magkakaroon ba si Dormann (@wdormann) Mayo 21, 2019

Ang SandboxEscaper ay naglabas din ng isang video upang ipakita ang pag-atake ng proof-of-concept (POC).

Inilabas lamang ng SandboxEsaper ang video na ito pati na rin ang POC para sa isang Windows 10 pribadong esc pic.twitter.com/IZZzVFOBZc

- Chase Dardaman (@CharlesDardaman) May 21, 2019

Kapansin-pansin, ang karagdagang mananaliksik ay inaangkin na kilalanin ang 4 na karagdagang mga bahid sa Windows 10 OS. Ang isa sa mga kahinaan na ito ay nagpapahintulot sa mapagsamantala upang mai-bypass ang seguridad ng sandbox. Kailangang kumilos ang Microsoft nang mabilis at i-patch ang kahinaan na ito bago ito maging sanhi ng ilang malubhang pinsala.

SandboxEscaper dati nang nakita ang ilang mga zero-day na kahinaan. Gayunpaman, hindi kailanman ipinagbigay-alam ng gumagamit sa Microsoft ang tungkol sa mga isyu bago ilabas ang mga ito.

Nais ng mga gumagamit ng Reddit na ipaalam sa kanya ang Microsoft tungkol sa mga isyu.

Nakakatakot! Mayroon bang dahilan na inilabas niya ito sa publiko? Hilingin niya na kahit kailan ay ipaalam sa Microsoft at bigyan sila ng isang pagkakataon. Hindi bababa sa ito ay mga LPE lamang.

Tulad ng pag-aalala sa kamakailang kahinaan, inaasahan na ilalabas ng Microsoft ang kinakailangang mga patch sa Patch Martes.