微软Windows 10更新助手存漏洞：黑客可执行系统级权限代码

10月12日消息 Microsoft Windows 10 Update Assistant（微软Win 10更新助手）中的一个安全漏洞可使攻击者执行具有SYSTEM特权的代码，CVE-2019-1378中记录了这个权限提升漏洞。后期微软解释称攻击者最终可以创建具有完整用户权限的帐户并获得访问权限以丢弃其他有效载荷并控制设备。

微软表示：“Windows 10 Update Assistant以处理权限的方式存在一个特权提升漏洞。”“经过本地身份验证的攻击者可以以更高的系统特权运行任意代码。成功利用此漏洞进入系统后，攻击者可以安装程序；查看，更改或删除数据；或创建具有完全用户权限的新帐户。”

该漏洞最早由Jimmy Bayne发现并报告给Microsoft，无论用户安装了哪一版本的Windows 10，该漏洞都会存在于Windows 10 Update Assistant中。

有外媒指出，某些计算机在安装KB4023814更新之后便会运行Windows 10更新助手，不过此更新仅适用于运行Windows 10版本1803（2018年4月更新）及更高版本的设备，并且专门用于准备升级到Windows 10版本1903（2019年5月更新）。而如果用户采用的是手动安装更新助手的方式，那么在运行Windows 101903版系统的设备上运行Windows 10 Update Assistant也容易遭受攻击。

不过微软官方已经发布了新版本的Update Assistant来解决此漏洞，建议用户尽快安装它。用户需要手动安装Win 10更新助手的最新版本或完全删除它的所有文件。而微软官方表示该漏洞是被秘密披露的，被利用的可能性较小，目前还没有关于该漏洞被利用的报道。