Blogger: Windows 7 UAC-funktionen är fortfarande sårbar

Microsoft-bloggen som först uppmärksammade ett säkerhetsproblem i Windows 7s användarkontokontrollfunktion hävdar att det fortfarande existerar och att Microsoft inte kommer att fixa det, även som företaget närmar sig slutkodsavslutning på operativsystemet.

Long Zheng, som skriver den populära bloggen "I Started Something", har lagt upp en video på nätet som visar hur UAC, en säkerhetsfunktion som introducerades först i Windows Vista, som ställer in användarbehörigheter på en dator i Windows 7 kan utnyttjas.

Zheng pekade också på ett instruktionsdokument av Microsoft Technical Mark Mark Russinovich som försöker förklara UAC och säger att det tydligt anges att Microsoft inte har för avsikt att fastställa en ändring som gjordes i UAC i Windows 7 som lämnar det nya operativsystemet mindre säkert eftersom det tillåter någon att avaktivera funktionen utan att användaren vet.

[Vidare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Zheng först påpekade denna förändring och dess sårbarhet tillbaka i februari. Vid den tiden sade han att den nya standardinställningen för UAC-standardanvändaren, som inte meddelar en användare när ändringar görs i Windows-inställningar, ligger där säkerhetsrisken ligger. En ändring till UAC ses som en ändring i en Windows-inställning, så en användare kommer inte att bli underrättad om UAC är avstängt, vilket Zheng sa att han kunde göra fjärrkontroll med några kortkommandon och kod.

UAC har varit en kontroversiell funktion sedan Microsoft introducerade det i Windows Vista för att förbättra säkerheten och ge människor som är de primära användarna av en dator större kontroll över sina applikationer och inställningar. Funktionerna hindrar användare utan administrativa rättigheter att göra obehöriga ändringar i ett system.

I Russinovichs dokument erkänner han att Zheng och andras kommentarer om hur programvara från tredje part kan använda funktionen för att få administrativa rättigheter till en dator är korrekt. Men enligt Zhengs blogginlägg verkade Russinovich avvisa denna möjlighet för fjärrkörning av kod och erbjuder ingen åtgärd för det eftersom han sa att det finns andra sätt att malware kommer in i systemet via UAC-prompten.

"Uppföljningsobservationen är att skadlig programvara kan få administrativa rättigheter med samma tekniker," skrev Russinovich. "Det här är sant, men som jag påpekade tidigare kan skadlig programvara även kompromissa med systemet via uppmanade höjningar. Från skadlig kod är Windows 7 standardläge inte mer eller mindre säkert än Always Notify-läget (" Vista-läget ") och skadlig kod som antar administrativa rättigheter kommer fortfarande att brytas när den körs i Windows 7: s standardläge."

Microsoft svarade inte officiellt på en begäran om kommentar till Zhengs krav och videopost. Men en företagsförespråkare sade privat att Zheng kan ha felstolkt Russinovichs dokument.

"Poänget verkar att jag gör det svårare för skadlig programvara att få på systemet i första hand genom att hjälpa slutanvändaren att fatta bättre beslut genom uppmanar dem att få, och att fler och fler användare kör i standardanvändarläge vs. i admin-läget (eftersom administratörsläge är vad som utsätter din maskin för risker) ", sade talesman, som bad om att inte namnges, via e-post.

Microsoft hade stått vid förändringen av UAC: s standardinställning när Zheng gjorde sitt första sårbarhetsanspråk och sa att funktionen inte kan utnyttjas om det inte redan finns skadlig kod som körs på maskinen och "något annat har redan bryts."

Microsoft har sagt att Windows 7, för närvarande i en förhandsgranskning, kommer att vara tillgänglig för både företag och konsumenter den 22 oktober. Utgåvan till tillverkningen av operativsystemet, där all kod är slutlig, förväntas senast nästa månad.