win10問(wèn)題報(bào)告嚴(yán)重安全漏洞 影響特權(quán)升級(jí)和違反用戶隱私設(shè)置

　　漏洞報(bào)告

　　受影響的平臺(tái)：Windows 10和Windows Server 2019

　　受影響的版本：Windows 10版本1809 +和Windows Server版本1903 +

　　影響：特權(quán)升級(jí)和違反用戶隱私設(shè)置

　　嚴(yán)重性級(jí)別：重要

　　今年1月，F(xiàn)ortiGuard實(shí)驗(yàn)室報(bào)告了與Microsoft Windows 10平臺(tái)中的用戶隱私相關(guān)的特權(quán)升級(jí)漏洞（代號(hào)CVE-2020-1296）。6月9日，Microsoft發(fā)布了安全更新，此漏洞才得以修復(fù)。此漏洞的根本原因是缺乏隱私設(shè)置隔離以及Windows 10平臺(tái)上所有用戶在內(nèi)存中對(duì)Windows診斷數(shù)據(jù)反饋的不正確處理。由于此漏洞嚴(yán)重影響用戶隱私，建議盡快更新Microsoft升級(jí)補(bǔ)丁。

　　CVE-2020-1296的漏洞方案和相關(guān)詳細(xì)信息

　　系統(tǒng)設(shè)置診斷數(shù)據(jù)級(jí)別從“基本”到“完全”特權(quán)升級(jí)的漏洞情形

　　重現(xiàn)步驟：

　　1.在初始安裝過(guò)程中，管理員用戶選擇“完全”設(shè)置，然后還將另一個(gè)標(biāo)準(zhǔn)用戶添加到設(shè)備。

　　2.標(biāo)準(zhǔn)用戶登錄系統(tǒng)，并保持“診斷數(shù)據(jù)”設(shè)置窗口打開(kāi)。

　　3.然后，管理員用戶將診斷數(shù)據(jù)設(shè)置更改為“基本”級(jí)別。

　　4.然后，標(biāo)準(zhǔn)用戶將診斷數(shù)據(jù)設(shè)置更改為“完全”級(jí)別。

　　5.然后，標(biāo)準(zhǔn)用戶對(duì)“完全”級(jí)別的更改也會(huì)反映給管理員用戶。

　　說(shuō)明：

　　這里管理員用戶將“完全”更改為“基本”隱私?jīng)]有反映給標(biāo)準(zhǔn)用戶，從而允許標(biāo)準(zhǔn)用戶對(duì)所有用戶的診斷數(shù)據(jù)隱私設(shè)置進(jìn)行未經(jīng)授權(quán)的更改用戶（包括管理員）。

　　影響：

　　標(biāo)準(zhǔn)用戶對(duì)設(shè)備上所有用戶（包括管理員）進(jìn)行的診斷數(shù)據(jù)隱私設(shè)置的未經(jīng)授權(quán)的更改，降低了系統(tǒng)上所有用戶的隱私。

　　從“完全”升級(jí)為“基本”特權(quán)漏洞情形

　　重現(xiàn)步驟：

　　1.在初始安裝期間，管理員用戶選擇“完全”設(shè)置，然后將另一個(gè)標(biāo)準(zhǔn)用戶添加到設(shè)備。

　　2.標(biāo)準(zhǔn)用戶登錄系統(tǒng)，并將“診斷數(shù)據(jù)”設(shè)置更改為“基本”。

　　3.標(biāo)準(zhǔn)用戶對(duì)“基本”的更改也反映給管理員用戶。

　　說(shuō)明：

　　這是由于設(shè)備上所有用戶之間缺乏隱私設(shè)置隔離。這允許任何用戶更改所有用戶（包括管理員）的隱私設(shè)置。

　　影響：

　　盡管此未經(jīng)授權(quán)的更改確實(shí)增強(qiáng)了設(shè)備上所有用戶的隱私，但這樣做是有代價(jià)的。將診斷數(shù)據(jù)設(shè)置設(shè)置為“基本”會(huì)降低Microsoft安全產(chǎn)品（如Microsoft Edge和Windows Defender SmartScreen）的功能。Microsoft的“完整”設(shè)置允許獲取有關(guān)潛在濫用或惡意域的假名瀏覽歷史記錄數(shù)據(jù)，以對(duì)Microsoft Edge和Windows Defender SmartScreen進(jìn)行更新，以警告用戶有關(guān)此類(lèi)有害網(wǎng)站的信息。

　　也可以將其歸類(lèi)為“安全繞過(guò)”漏洞，因?yàn)樗芙^向Windows Insider用戶提供新的安全/功能更新。Windows Insider Channel用戶必須將“診斷數(shù)據(jù)”設(shè)置設(shè)置為“完全”才能接收任何新的安全/功能更新，對(duì)此設(shè)置的任何未經(jīng)授權(quán)的更改都將拒絕該系統(tǒng)上的其他Insider Channel更新。

　　CVE-2020-1296的總體影響

　　此問(wèn)題的總體影響是，它會(huì)影響系統(tǒng)上所有用戶的“隱私設(shè)置”。由于特權(quán)升級(jí)漏洞而導(dǎo)致未經(jīng)授權(quán)的隱私設(shè)置更改可能給用戶帶來(lái)錯(cuò)誤的安全感，并且還可能拒絕設(shè)備的新安全性或功能更新。“從基本到完全”特權(quán)升級(jí)漏洞將有效降低系統(tǒng)上所有用戶的隱私，而“從完全到基本”特權(quán)升級(jí)漏洞可能會(huì)拒絕某些Microsoft產(chǎn)品（例如Windows Defender SmartScreen）提供的主動(dòng)保護(hù) ，并且還會(huì)拒絕Windows Insider用戶的任何其他功能/安全更新。

　　修復(fù)與建議

　　用戶應(yīng)立即更新其系統(tǒng)并應(yīng)用Microsoft的安全補(bǔ)丁。