Nakita ang Kahinaan ng DoS sa Patlang ng Bagong Pangalan ng Pakikipag-ugnay ng Application ng People ng Microsoft

In-house na Application ng Tao + Address Book ng Microsoft

Ang Microsoft ay may sariling sentralisadong address book na pinagsasama ang lahat ng iyong mga social na tawag, komunikasyon, at koneksyon sa isang lugar sa ilalim ng payong ng People app nito. Ang isang pagtanggi ng kahinaan sa serbisyo ay natagpuan sa bersyon ng Microsoft people 10.1807.2131.0 ng LORD sa 4^ikang Setyembre, 2018. Ang kahinaan na ito ay napansin at nasubukan sa operating system ng Windows 10 ng Microsoft.

Ang application ng Microsoft People sa Windows 8 at 10 desktop operating system ay mahalagang isang contact management database platform na tinawag na address book. Pinagsasama nito ang maraming mga email account at mga contact ng iba pang mga platform sa isang lugar para sa isang pag-click na madaling pag-access. Isinasama nito ang iyong mga Apple account, Microsoft account, Xbox account, Google account, Skype, at higit pa sa lahat sa isang lugar upang maaari kang kumonekta sa mga taong nais mong mag-agad.

Pinagsasama din ng matalinong application ang mga contact mula sa iba't ibang mga platform para sa mabuti ang mga contact card na naglalaman ng lahat ng impormasyon na mayroon ka tungkol sa isang partikular na tao. Hinahayaan ka ng application na subaybayan ang iyong mga email at kalendaryo, na ikonekta ito sa iyong mga taong interesado.

Ang pagtanggi ng pag-crash ng serbisyo ay nangyayari sa application na ito kapag ang python exploit code ay pinatakbo, at ang isang crash-inducing code ay na-paste sa application. Upang magawa ito, dapat mong kopyahin ang nilalaman ng 'poc.txt' na file ng teksto na naglalaman ng code na ito at ilunsad ang application ng mga tao. Sa loob ng application, mag-click sa 'bagong contact (+)' at i-paste ang code na nakopya sa iyong clipboard sa patlang ng pangalan. Kapag na-save mo ang contact na ito, nag-crash ang application sa isang pagtanggi ng serbisyo.

Ang isang label ng pagkakakilanlan ng CVE ay hindi pa nakatalaga sa kahinaan na ito. Walang impormasyon kung kinilala ng vendor ang kahinaan na ito, alinman, o kung plano pa ng Microsoft na maglabas ng isang pag-update upang mapagaan ang kahinaan na ito. Gayunpaman, sa mga detalye ng kahinaan, naniniwala ako na ang pagsasamantala ay malamang na bumagsak sa isang 4 na rating sa sukat ng CVSS 3.0, na ikinokompromiso lamang ang pagkakaroon ng programa, ginagawa itong isang maliit na alalahanin nang walang warranty para sa isang buong pag-update upang ayusin ito sa sarili nito