Google раскрыла уязвимость Windows 11 — Microsoft не смогла закрыть её с первого раза

Компания Google обнародовала информацию об уязвимости в составе операционной системы Windows 11 после того, как компании Microsoft не удалось исправить её с первого раза.

У Google есть внутренняя команда по кибербезопасности Project Zero, задача которой заключается в поиске различных уязвимостей как в продуктах самой Google, так и в решениях других разработчиков. Об обнаруженных брешах в безопасности специалисты в частном порядке сообщают разработчику, после чего последнему даётся 90 дней на их устранение. Если этот срок превышен, информация об уязвимости становится достоянием общественности, что оказывает дополнительное давление на поставщика и даёт пользователям возможность самостоятельно принять меры для защиты. В некоторых сложных случаях также предоставляется отсрочка на исправление уязвимостей. В прошлом Google Project Zero сообщала об ошибках в CentOS, libxslt, ChromeOS и Windows. Теперь команда обнаружила уязвимость в версиях Windows 11 для участников программы Insider.

В подробном техническом отчёте на трекере проблем Project Zero указано, что исследователь безопасности Джеймс Форшоу (James Forshaw) обнаружил уязвимость повышения привилегий (EoP) в предварительных версиях Windows 11 для участников программы Insider. Эта проблема присутствовала в функции защиты администратора, которая является новой возможностью Windows 11 и позволяет повышать привилегии только тогда, когда это необходимо, с использованием Windows Hello и изолированного административного токена.

В ходе своего расследования Форшоу выявил уязвимость в функции защиты администратора (Administrator Protection), позволяющую процессу с низкими привилегиями перехватывать процесс доступа к пользовательскому интерфейсу, что может быть использовано для получения административных привилегий. Исследователь сообщил об этой уязвимости в Microsoft в частном порядке 8 августа, что означало, что у компании было время до 6 ноября, чтобы исправить её. После продления этого срока Microsoft выпустила 12 ноября патч безопасности и поблагодарила Форшоу за его вклад в обнаружение уязвимости CVE-2025-60718.

Хотя вопрос считался закрытым, Форшоу недавно вновь поднял его, заявив, что выпущенный патч оказался неэффективным и не устранил уязвимость полностью. В результате, после отсутствия реакции со стороны Microsoft, информация об уязвимости стала достоянием общественности.

Об указанной уязвимости уже известно всё необходимое, поэтому серьёзных опасений она не вызывает. Уязвимость предполагает возможность локальной атаки с повышением привилегий, а это означает, что злоумышленнику необходим физический доступ к компьютеру для выполнения произвольного кода и эксплуатации проблемы. Кроме того, функция защиты администратора доступна только в некоторых сборках Windows 11 Insider и в любом случае должна быть включена вручную. Таким образом, круг потенциально затронутых пользователей на данный момент достаточно ограничен. Тем не менее важно, чтобы Microsoft провела дальнейшее расследование результатов работы Форшоу и выпустила полноценное исправление до того, как функция станет общедоступной в составе Windows 11.