A DoS biztonsági rése a Microsoft People alkalmazás Új kapcsolattartó neve mezőjében található

A Microsoft házon belüli People + Address Book alkalmazása

A Microsoftnak van egy saját központosított címjegyzéke, amely az összes közösségi hívást, kommunikációt és kapcsolatot egy helyen egyesíti a People alkalmazás égisze alatt. A LORD szolgáltatásmegtagadási biztonsági rést talált a Microsoft People 10.1807.2131.0 verziójában.^thEzt a biztonsági rést a Microsoft Windows 10 operációs rendszerén észlelték és tesztelték.

A Microsoft People alkalmazás a Windows 8 és 10 asztali operációs rendszereken lényegében névjegyzék-névvel ellátott névjegyzék-kezelő adatbázis platform. Több e-mail fiókot és más platformok kapcsolattartóit egyetlen helyen egyesíti egyetlen kattintással. Ez magában foglalja Apple-fiókjait, Microsoft-fiókjait, Xbox-fiókjait, Google-fiókjait, Skype-ját és még sok minden mást egy helyen, így azonnal kapcsolatba léphet a kívánt emberekkel.

Az intelligens alkalmazás egyesíti a különböző platformokról érkező névjegyeket az egészséges névjegykártyákért, amelyek tartalmazzák az összes információt, amelyek egy adott személyről rendelkeznek. Az alkalmazás lehetővé teszi az e-mailek és naptárak nyomon követését, összekapcsolva az érdeklődő emberekkel.

A szolgáltatásmegtagadási összeomlás ebben az alkalmazásban akkor fordul elő, amikor a python kihasználó kód fut, és összeomlást kiváltó kódot illeszt be az alkalmazásba. Ehhez le kell másolnia a kódot tartalmazó „poc.txt” szövegfájl tartalmát, és el kell indítania az emberek alkalmazást. Az alkalmazáson belül kattintson az „új névjegy (+)” elemre, és illessze be a vágólapra másolt kódot a név mezőbe. Miután elmentette ezt a névjegyet, az alkalmazás összeomlik a szolgáltatás megtagadásával.

A biztonsági réshez még nem rendeltek hozzá CVE azonosító címkét. Nincs információ arról, hogy az eladó elismerte-e még ezt a biztonsági rést, vagy a Microsoft még tervez-e kiadni egy frissítést a biztonsági rés enyhítésére. A sérülékenység részleteit figyelembe véve azonban úgy gondolom, hogy a kihasználás valószínűleg a CVSS 3.0 skálán 4 körüli szintre esik, csak a program elérhetőségét veszélyezteti, így kisebb gondot jelent egy teljes frissítés javítása ezen. sajátja.