విండోస్ 10 కోర్టానాలో నువ్వుల దుర్బలత్వాన్ని తెరవండి వాయిస్ ఆన్ లాక్ చేసిన పరికరాన్ని ఉపయోగించి కమాండ్‌ను అమలు చేయడానికి హ్యాకర్లను అనుమతిస్తుంది.

కోర్టనా. MSFT లో

మైక్రోసాఫ్ట్ యొక్క విండోస్ 10 చాలా అనుకూలీకరించదగిన ఆపరేటింగ్ సిస్టమ్. ఇది ఆపరేటింగ్ సిస్టమ్‌ను దోపిడీ చేయడానికి అనేక మార్గాలను అనుమతిస్తుంది. అయినప్పటికీ, మైక్రోసాఫ్ట్ తన సిస్టమ్ యొక్క భద్రతను నిరంతరం మెరుగుపరచడానికి అంకితం చేస్తుంది, కనుగొనబడిన క్లిష్టమైన ప్రమాదాల కోసం వేగవంతమైన భద్రతా నవీకరణలు మరియు బగ్ పరిష్కారాలను విడుదల చేస్తుంది. మైక్రోసాఫ్ట్ విండోస్ను ఈ విధంగా మెరుగుపరచడానికి తన ప్రయత్నాలను కొనసాగిస్తున్నందున, మరొక దుర్బలత్వం ముందుకు వచ్చింది, ఇది పరికరంలో వాయిస్ కమాండ్‌ను ఉపయోగించడం ద్వారా సిస్టమ్‌లో ఏకపక్ష ఆదేశాలను నిర్వహించడానికి హ్యాకర్లను అనుమతిస్తుంది.

మైక్రోసాఫ్ట్ యొక్క డిజిటల్ వాయిస్ ఫీడ్‌బ్యాక్-బేస్డ్ అసిస్టెంట్ కోర్టానాలో “ఓపెన్ సెసేమ్” గా పిలువబడే దుర్బలత్వం. కొద్ది రోజుల క్రితం ముగిసిన లాస్ వెగాస్‌లో జరిగిన బ్లాక్ హాట్ యుఎస్‌ఎ 2018 సమావేశంలో ఈ దుర్బలత్వం గురించి చర్చించారు. ఓపెన్ సెసేమ్ దుర్బలత్వం హ్యాకర్లకు సున్నితమైన డేటాను ప్రాప్యత చేయడానికి వాయిస్ కమాండ్‌ను ఉపయోగించడాన్ని అనుమతించిందని మరియు హానికరమైన సర్వర్‌లకు కనెక్ట్ చేయగల ఫైల్‌లను డౌన్‌లోడ్ చేయడానికి లేదా అమలు చేయడానికి సిస్టమ్ ఆదేశాలను ఇస్తుందని కనుగొనబడింది. దీనికి తోడు, కంప్యూటర్ లాక్ స్క్రీన్‌పై లాక్ చేయబడినప్పుడు కూడా ఈ చర్యలను నిర్వహించడానికి సిస్టమ్‌కు కొన్ని అధికారాలను ఇవ్వడానికి కేవలం వాయిస్ కమాండ్ మాత్రమే సరిపోతుంది.

కోర్టానా వాయిస్-బేస్డ్ అసిస్టెంట్‌గా రూపొందించబడినందున, సిస్టమ్ లాక్ చేయబడినప్పుడు కూడా, వాయిస్ కమాండ్ అనుమతులను మంజూరు చేయడానికి వాయిస్ సరిపోతుంది కాబట్టి సిస్టమ్‌ను అన్‌లాక్ చేయడానికి ఏదైనా కీబోర్డ్ ఎంట్రీ లేదా మౌస్ అవసరాలను దాటవేయడానికి సరిపోతుంది. ఇంకా ఏమిటంటే, స్క్రీన్ లాక్ చేయబడినప్పటికీ, విండోస్ 10 దాని అనువర్తనాలను నేపథ్యంలో సంబంధం లేకుండా నడుపుతుంది కాబట్టి, వాయిస్ కమాండ్ ఒక నిర్దిష్ట మార్గంలో ప్రవర్తించమని నిర్దేశించడానికి అనువర్తనాలను అమలు చేయడానికి నొక్కవచ్చు.

దుర్బలత్వం లేబుల్ ఇవ్వబడింది CVE-2018-8410 . ఇది విండోస్ 10 పతనం సృష్టికర్తల నవీకరణ v1709, ఏప్రిల్ 2018 నవీకరణ v1803 మరియు క్రొత్త నవీకరణలను కూడా ప్రభావితం చేస్తుంది. ఈ దుర్బలత్వం గురించి ఏప్రిల్‌లో మైక్రోసాఫ్ట్కు తెలియజేయబడింది, దీనిని కనుగొన్న ఇజ్రాయెల్ పరిశోధకులు తమతో ముందుకు వచ్చారు. మైక్రోసాఫ్ట్ ఈ క్లిష్టమైన దుర్బలత్వం అనే అంశంపై కింది ప్రకటనను మాత్రమే విడుదల చేసింది.

కోర్టానా స్థితిని పరిగణనలోకి తీసుకోకుండా వినియోగదారు ఇన్పుట్ సేవల నుండి డేటాను తిరిగి పొందినప్పుడు ప్రివిలేజ్ దుర్బలత్వం యొక్క ఎలివేషన్ ఉంది. హానిని విజయవంతంగా ఉపయోగించుకున్న దాడి చేసేవాడు ఎలివేటెడ్ అనుమతులతో ఆదేశాలను అమలు చేయగలడు. దుర్బలత్వాన్ని ఉపయోగించుకోవడానికి, దాడి చేసేవారికి భౌతిక / కన్సోల్ యాక్సెస్ అవసరం మరియు సిస్టమ్‌కు కోర్టానా సహాయం ప్రారంభించబడాలి. మైక్రోసాఫ్ట్ - ఇన్పుట్ సేవల నుండి సమాచారాన్ని తిరిగి పొందినప్పుడు కోర్టానా స్థితిని పరిగణిస్తుందని నిర్ధారించడం ద్వారా భద్రతా నవీకరణ దుర్బలత్వాన్ని పరిష్కరిస్తుంది

మీ పరికరాన్ని మీ స్వంత పరిధిలో ఉంచడం మినహా ఇంకా ఉపశమన పద్ధతులు అందుబాటులో లేవు, తద్వారా సమీప దాడి చేసేవారు దోపిడీకి వాయిస్ కమాండ్ ఇవ్వలేరు. ఈ సమస్యను పరిష్కరించడానికి మేము Microsoft నుండి నవీకరణ కోసం వేచి ఉన్నాము.

రాన్ మార్కోవిచ్ యొక్క క్రింది వీడియో చర్యలోని దోపిడీని చూపుతుంది.