谷歌披露Windows零日漏洞 已有證據(jù)表明被黑客利用

谷歌的Project Zero團(tuán)隊近日披露了存在于Windows系統(tǒng)中的零日漏洞，會影響從Windows 7至Windows 10 Version 1903系統(tǒng)版本。在博文中，谷歌表示已經(jīng)有證據(jù)表明有攻擊者利用該漏洞發(fā)起了攻擊，可提升權(quán)限以執(zhí)行遠(yuǎn)程代碼。

有趣的是，這個標(biāo)記為CVE-2020-17087的漏洞和上周披露的另一個Chrome零日漏洞（CVE-2020-15999）配合使用，能夠從沙盒中逃逸。外媒ZDNet的Catalin Cimpanu解釋說，惡意行為者可以通過這兩個漏洞逃避瀏覽器的安全環(huán)境，在受感染的目標(biāo)設(shè)備上執(zhí)行任意代碼。

披露的博文中，微軟將會在今年11月的補(bǔ)丁星期二活動日（10日）中修復(fù)該漏洞。不過由于Windows7系統(tǒng)的主流支持已經(jīng)停止，因此僅面向那些訂閱了擴(kuò)展安全更新（ESU）的用戶。自從該漏洞被積極利用以來，這家搜索巨頭的團(tuán)隊為微軟提供了7天的時間來修補(bǔ)該漏洞，然后才在今天公開予以披露。

在最新的Chrome 86.0.4240.1111版本更新中，谷歌已經(jīng)修復(fù)了漏洞。至于Windows錯誤，該漏洞位于Windows內(nèi)核密碼驅(qū)動程序（cng.sys）中，谷歌Project Zero團(tuán)隊對其進(jìn)行了詳細(xì)說明。該公司還附加了概念驗證代碼，以顯示該漏洞如何使系統(tǒng)崩潰。

此外，Google威脅分析小組的負(fù)責(zé)人謝恩·亨特利（Shane Huntly）已確認(rèn)該漏洞和即將到來的美國總統(tǒng)大選沒有任何關(guān)系。