MSI Center: Как получить привилегии SYSTEM за несколько секунд
MSI Center – How to gain SYSTEM privileges in seconds
Я обнаружил критическую уязвимость в MSI Center, позволяющую любому пользователю выполнять код с правами LocalSystem через небезопасный именованный канал. Несмотря на то, что почтовый ящик для отчетов о багах был переполнен, компания MSI оперативно выпустила патч всего за два дня. Однако отсутствие программы вознаграждений за баги означает, что за все мои отчеты я получил ноль долларов.
На данный момент за уязвимости, которые я сообщил Google, ASUS, AMD, TP-Link, Netgear, MSI и другим компаниям, они выплатили мне в сумме $0.
- nzeid
После этого небольшого казуса опыт работы с MSI оказался на самом деле довольно приятным. Они подготовили патч для уязвимости в течение двух дней после моего отчёта, сообщили, в каком релизе MSI Center он будет собран, и когда планируют выпустить новую версию.
Не ожидал счастливого конца.
Не знаю, устанавливается ли та часть MSI Center, где есть уязвимость через pipe, автоматически на десктопах, но это ужасно написанное ПО, которое нужно отключить, чтобы выключить все эти надоедливые огни на материнской плате и в оперативной памяти.
- zipy124
MSI Center — одно из худших программных обеспечений, от которого я не могу избавиться. Некоторые функции, такие как управление профилями вентиляторов/видеокарты/процессора и зарядкой батареи, я не могу легко воспроизвести другими способами. Обновление ПО занимает ВЕЧНОСТЬ для того, что должно быть довольно простым, и оно снова невероятно медленное для такого простого софта.
- drdexebtjl
Хотелось бы, чтобы автор немного подробнее рассказал, как именно MSI это исправил, как это обычно бывает в подобных отчётах.
Это заставило меня задуматься, не ввёл ли патч другую уязвимость, которая всё ещё находится под эмбарго :)