Kontrola użytkowników w Viście zhakowana
Robert Paveza, programista zajmujący się bezpieczeństwem systemów komputerowych, dowiódł, iż nawet użytkownik posługujący się w Viście kontem o ograniczonych uprawnieniach może uruchomić w systemie złośliwy kod. Potwierdzeniem tych słów ma być opublikowany przez niego dokument, w którym opisuje on, jak do zainfekowania Visty wykorzystał mechanizm User Account Control.
Paveza wskazuje, iż nawet w przypadku kont z ograniczonymi uprawnieniami użytkownika niektóre działające w systemie programy mają wyższe uprawnienia, a złośliwy kod można "podpiąć" pod "oficjalny" proces systemowy. Programista posłużył się przykładem popularnej gry Pac-Man. Pisze on, iż gdyby użytkownik pobrał z Internetu i uruchomił spreparowaną grę, owszem - mógłby w nią grać, ale w tle działałby złośliwy kod. Użytkownik, klika w utworzony np. w menu Start skrót, program o wyższych uprawnieniach jest uruchamiany, a złośliwy kod ładowany do pamięci. Autoryzacja aplikacji o wyższych uprawnieniach jest równoznaczna autoryzacji "szkodnika".
Opisana przez Pavezę metoda wykorzystania słabości systemu UAC była już sygnalizowana przez inną specjalistkę ds. bezpieczeństwa, Joannę Rutkowską, w lutym br. ( przypomnijmy, iż Rutkowska wykryła - http://www.pcworld.pl/news/106601.html, że w Viście każdy nowo instalowany program otrzymuje od systemu UAC przywileje administratora ). Jej zdaniem różne poziomy uprawnień użytkowników - tzw. poziomy integracji - dopuszczają możliwość ominięcia systemu UAC w pewnych okolicznościach.
Więcej informacji: PC Advisor - http://www.pcadvisor.co.uk
Dokument Roberta Pavezy w formacie PDF dostępny jest na stronie robpaveza.net - http://www.robpaveza.net/vistauacexploit/uacexploitwhitepaper.pdf.
