部落格再掀Windwos 7的UAC漏洞

日前揭露微軟Windows 7作業系統使用者帳號控制（UAC）漏洞的部落格Long Zheng周三（2/4）再公布了另一個UAC漏洞，指稱在UAC預設設定下可允許惡意程式自動將權限提昇到管理員等級，而且毋須關閉UAC，也不會出現UAC的提醒功能。

Zheng說這個漏洞在本周已提交給微軟而且聽聞微軟已在內部測試版本修補此一漏洞。

先前Zheng即認為，Windows 7的UAC預設是有問題的，該預設值為在各種程式企圖改變使用者電腦時出現提示，但在使用者更改電腦設定時則不會跳出警告視窗，Zheng表示這意謂著惡意程式可能在使用者不知不覺下就關閉UAC功能，因為關閉UAC是屬於電腦設定的一部份。不過微軟反駁說這是UAC原本設計的功能並非安全漏洞。

至於Zheng所指稱的第二個UAC漏洞，其他兩名部落客Rafael Rivera及Leo Davidson亦相繼說明，視窗會檢驗磁碟處理影響中是否有嵌入數位簽章，以用來辨識該程式是否為微軟所核可的應用程式，對於這些由微軟開發的UAC白名單應用程式，微軟給予較佳的執行權限，因此駭客只要利用這些白名單程式並注入惡意功能就能輕易搭上優先執行權限列車，甚至不會觸動UAC。

Rivera認為，這個問題在於當一個應用程式不用提醒使用者只需自動提昇權限時視窗可能無法判斷。Davidson則表示這除了安全問題外，微軟的白名單功能也有違反市場競爭的嫌疑，因為只有微軟所開發、在UAC白名單內的程式執行時才不會跳出警告視窗，但使用者要執行第三方元件時就會跳出擾人的UAC警告視窗。

Zheng指出這並非單一的漏洞，因為視窗中的可執行檔太多了而且有許多皆可被開採。Zheng認為UAC的設計是用來控制執行權限，因此當屬安全功能，如果一個安全功能可被惡意或私下繞過及關閉，那麼應該就算是安全漏洞。