Normalmente, cuando un investigador de seguridad descubre una vulnerabilidad, ofrece a la empresa afectada un periodo de 60 o 90 días para que puedan arreglarla, y posteriormente pasa a publicarla una vez haya pasado ese tiempo, esté parcheada o no. Sin embargo, un investigador se ha saltado todo eso, y ha publicado una vulnerabilidad de día cero que afecta a todos los usuarios de Windows 10, incluso aquellos que estén al día con las actualizaciones de seguridad.

Un investigador publica una vulnerabilidad sin parchear: todos los usuarios de Windows 10 están afectados

Ha sido un usuario de Twitter llamado SandboxEscaper quien, en el día de ayer, publicó la vulnerabilidad en Twitter diciendo que “le daba igual todo”, y que pasaba de tener que enviarle las vulnerabilidades a Microsoft. Rápidamente, otros investigadores han comprobado si la vulnerabilidad era real, y efectivamente así lo es.

I've confirmed that this works well in a fully-patched 64-bit Windows 10 system.
LPE right to SYSTEM! https://t.co/My1IevbWbz

— Will Dormann (@wdormann) August 27, 2018

Phil Dormann, analista de vulnerabilidades de CERT/CC ha confirmado que el fallo funciona en una versión al día con las actualizaciones de Windows 10 de 64 bits, la cual permite escalar permisos hasta llegar a tener permisos de SYSTEM bajo lo cual se puede hacer lo que uno quiera en el ordenador.

Microsoft está trabajando en parchearla lo antes posible

La vulnerabilidad se encuentra en el Programador de tareas de Windows 10, en concreto en el ALPC (Advanced Local Procedure Call). Por suerte, este elemento restringe el impacto a una vulnerabilidad local, pero cualquier malware que entre en nuestro ordenador sin parchear podría aprovecharse de la vulnerabilidad y tomar el control de nuestro PC. Por ello, debemos tener cuidado con los archivos que descargamos y ejecutamos en nuestro PC (aún más que de costumbre).

Microsoft, en declaraciones recogidos por The Register, ha afirmado que están al tanto de la vulnerabilidad, y que están trabajando contrarreloj para parchearla lo antes posible en todos los sistemas operativos afectados, que en principio serían Windows 7, 8.1 y 10. La compañía afirmó que lo lanzarían en sus Update Tuesday, por lo que a lo largo del día de hoy el parche debería llegar a Windows Update.

Actualmente la vulnerabilidad ha sido añadida en la Vulnerability Notes Database, con el estado de Afectado todavía presente. En cuanto el parche esté disponible, se actualizará debidamente la página.