IT之家 3 月 9 日消息，安全机构 Akamai 日前公布了微软 Win 10/11 主题系统中一项名为 CVE-2024-21320 的漏洞，该漏洞 CVSS 评分为 6.5，允许黑客使用特制的 .theme 主题文件远程执行代码。

据介绍，微软 Windows 资源管理器会默认预加载 .theme 主题的缩略文件，因此给予了黑客可乘之机，当黑客只需要将相关主题缩略文件参数指向恶意地址，Windows 资源管理器便会在加载缩略文件时连接黑客指定的远程 UNC 路径，进而远程执行代码。

▲ 图源 Akamai 安全报告（下同）

IT之家注意到，微软已经在 2024 年 1 月份的 Windows 10/11 累积更新中缓解了相关漏洞，在相关更新中，微软引入路径验证来对 UNC 进行验证，同时根据系统策略选择是否允许使用 UNC 路径，同时引入了一项名为“DisableThumbnailOnNetworkFolder”的注册表项，允许禁用网络缩略图来降低风险。


                                        
友情提示
本站部分转载文章，皆来自互联网，仅供参考及分享，并不用于任何商业用途；版权归原作者所有，如涉及作品内容、版权和其他问题，请与本网联系，我们将在第一时间删除内容！  
                                        
联系邮箱：1042463605@qq.com