Zero Day Initiative (ZDI) ha publicado el 19 de mayo de 2020, cuatro avisos sobre vulnerabilidades descubiertas en el sistema operativo Windows, de Microsoft, que podrían permitir a un atacante obtener privilegios del sistema.
ZDI ha publicado las vulnerabilidades, conforme con su política de divulgación de vulnerabilidades sin corregir por más de 120 días. Se espera que Microsoft actúe pronto para facilitar el parche oficial que resuelva los fallos día-cero. Mientras, su divulgación las coloca bajo la categoría de vulnerabilidades día-cero.
Tres vulnerabilidades, catalogadas como CVE-2020-0915, CVE-2020-0916 y CVE-2020-0986, afectan al archivo splwow64.exe, el host de controlador de impresora que permite que las aplicaciones de 32 bits sean compatibles con un sistema Windows de 64 bits. De ser explotadas con éxito, las vulnerabilidades permitirían el escalamiento de privilegios en Windows. El atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.
La cuarta vulnerabilidad está relacionada con el manejo de los perfiles de conexión WLAN (ZDI-20-666). El atacante que explote la vulnerabilidad podría escalar privilegios y ejecutar código en el contexto de un administrador en Windows. Para aprovechar la vulnerabilidad, primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema.
Los fallos de seguridad no han sido parchados por Microsoft, no obstante que ZDI se los comunicó en diciembre pasado.