Agencias/Ciudad de México.- Un fallo de seguridad en el ‘software’ del fabricante de accesorios enfocados en los videojuegos Razer permite obtener los privilegios de administración de Windows 10 con solamente conectar un ratón de la compañía el ordenador.
El problema en cuestión se debe a una vulnerabilidad día cero -es decir, no conocida por la compañía hasta el momento- en el software Razer Sinapse de la marca, como ha informado el investigador de ciberseguridad jonhat en Twitter y recoge el portal Bleeping Computer.
Cuando un usuario conecta un periférico de la marca como un ratón, este comienza a instalar en el ordenador con Windows 10 automáticamente la app de Sinapse para que puedan configurar el dispositivo externo.
I thought it would be a good idea to highlight #Razer driver installations that spawn an explorer.exe process (could lead to some FPs but negligible in the corporate envs)
Rulehttps://t.co/y3GnoI845q pic.twitter.com/xBESpbow8E
— Florian Roth (@cyb3rops) August 24, 2021
No obstante, este sistema incluye un fallo de seguridad que permite a los usuarios hacerse con los permisos de administración de Windows 10, con lo que es posible hacerse con el control del ordenador por completo, incluyendo la instalación de ‘malware’.
La vulnerabilidad permite escalar privilegios solamente a nivel local, pero lo que solamente puede afectar a los usuarios que tengan acceso físico al ordenador y al periférico de Razer para proceder a enchufarlo.
Este tipo de errores puede encontrarse de forma frecuente en los dispositivos externos que funcionan nada más conectarse a un equipo, no solo los de Razer, como ha reconocido el analista de vulnerabilidad del CERT Will Dormann a través de Twitter.
Razer ha respondido a jonhat en Twitter y ha asegurado que se encuentra investigando el problema y que lanzará un parche de seguridad para solucionar la vulnerabilidad lo antes posible.
https://t.co/5QqF0fMrDh for better quality poc video
— jonhat (@j0nh4t) August 21, 2021
Unos 38 millones de registros quedaron expuestos por software de Microsoft
Unos 38 millones de registros, entre ellos direcciones, números de seguro social o datos relacionados con la pandemia de la covid-19, quedaron expuestos debido a una configuración errónea de un software de Microsoft, reveló este lunes la empresa de ciberseguridad UpGuard.
La firma detalló en un documento publicado en su cuenta de Twitter que el problema afectó a 47 entidades, entre ellas organismos de los Gobiernos de Indiana y Maryland o la ciudad de Nueva York, así como empresas como American Airlines, JB Hunt y Microsoft.
Los afectados usaron Power Apps, una plataforma de desarrollo de Microsoft que permite crear aplicaciones móviles y portales web.
Un analista de UpGuard descubrió en mayo pasado cómo una configuración incorrecta por parte del usuario final podía exponer públicamente datos privados de los sitios creados con Power Apps, aunque de momento no se conoce que se hayan visto comprometidos.
Need local admin and have physical access?
– Plug a Razer mouse (or the dongle)
– Windows Update will download and execute RazerInstaller as SYSTEM
– Abuse elevated Explorer to open Powershell with Shift+Right clickTried contacting @Razer, but no answers. So here's a freebie pic.twitter.com/xDkl87RCmz
— jonhat (@j0nh4t) August 21, 2021
Microsoft declaró cerrado el caso el pasado 29 de junio, de acuerdo UpGuard, que notificó por su parte a los afectados.
UpGuard señaló que datos de Microsoft también quedaron expuestos, entre ellos una lista de “contactos” con 332,000 registros de personas en la nómina global con su dirección de correo electrónico corporativo.
También encontraron información del Departamento de Salud de Maryland relacionada con citas para las pruebas de covid, así como registros de American Airlines con nombres completos, números de teléfono y direcciones de correo electrónico, entre otros.
Un portavoz de Microsoft defendió en declaraciones a la publicación The Hill la seguridad de su producto, al indicar que la firma ha estado trabajando con los clientes afectados para garantizar la privacidad de sus datos y para notificar a aquellos cuya información estaba disponible públicamente.
La investigación concluyó que los expertos entendían -y estaban de acuerdo- con la posición de Microsoft de que el asunto no se trató de “estrictamente una vulnerabilidad de software”, sino de un “problema de plataforma que requiere cambios de código en el producto”.
it is not only about @Razer.. it is possible for all.. just another priv_escalation with @SteelSeries https://t.co/S2sIa1Lvjv pic.twitter.com/E3NPQnxqo2
— Lawrence 勞倫斯 (@zux0x3a) August 23, 2021
