DoS ranjivost pronađena u polju Novo ime kontakta Microsoftove aplikacije za ljude

Microsoftova interna aplikacija People + Address Book

Microsoft ima vlastiti centralizirani adresar koji kombinira sve vaše društvene pozive, komunikacije i veze na jedno mjesto pod okriljem njegove aplikacije People. LORD je pronašao ranjivost uskraćivanja usluge u Microsoftovoj verziji 10.1807.2131.0 4.^thod rujna 2018. Ova je ranjivost otkrivena i testirana na Microsoftovom operativnom sustavu Windows 10.

Aplikacija Microsoft People na Windows 8 i 10 stolnim operativnim sustavima u osnovi je platforma baze podataka za upravljanje kontaktima nazvana adresar. Objedinjuje nekoliko računa e-pošte i kontakata drugih platformi na jednom mjestu za jednostavan pristup. Na jednom mjestu uključuje vaše račune Apple, Microsoft račune, Xbox račune, Google račune, Skype i još mnogo toga, tako da se možete odmah povezati s ljudima s kojima želite.

Pametna aplikacija također spaja kontakte s različitih platformi za korisne kontaktne kartice koje sadrže sve podatke o određenoj osobi koji imate. Aplikacija vam omogućuje praćenje vaših e-adresa i kalendara, povezujući ih sa ljudima koji vas zanimaju.

Do pada sustava uskraćivanja usluge dolazi u ovoj aplikaciji kada se pokrene python exploit kôd i u aplikaciju zalijepi kôd koji izaziva pad. Da biste to učinili, morate kopirati sadržaj tekstualne datoteke 'poc.txt' koja sadrži ovaj kôd i pokrenuti aplikaciju people. Unutar aplikacije kliknite 'novi kontakt (+)' i zalijepite kod kopiran u međuspremnik u polje imena. Nakon što spremite ovaj kontakt, aplikacija se ruši uskraćivanjem usluge.

CVE identifikacijska oznaka još nije dodijeljena ovoj ranjivosti. Ne postoje informacije o tome je li dobavljač još priznao ovu ranjivost ili planira li Microsoft uopće objaviti ažuriranje za ublažavanje te ranjivosti. Međutim, s obzirom na detalje o ranjivosti, vjerujem da exploit najvjerojatnije pada na otprilike 4 ocjene na ljestvici CVSS 3.0, ugrožavajući samo dostupnost programa, što čini manju zabrinutost bez naloga za cijelo ažuriranje da se to popravi na vlastiti.