连环爆，SandboxEscaper再公布零时差漏洞
报价宝综合消息连环爆，SandboxEscaper再公布零时差漏洞
独立安全研究人员SandboxEscaper继日前公布Windows 10工作排程器（Task Scheduler）的零时差权限扩张漏洞之后，隔天再公布了4个零时差漏洞的概念性验证程式，其中有3个属于本地端权限扩张漏洞，另一个则涉及IE 11的沙箱逃逸漏洞。
不过，在SandboxEscaper新公布的4个漏洞中，有一个存在于Windows错误报告（Windows Error Reporting）服务中的本地端权限扩张漏洞，已在本月初被微软修补，因此并不属于零时差漏洞，该漏洞编号为CVE-2019-0863。
另一个权限扩张漏洞则是绕过了微软所修补的CVE-2019-0841，主要是因Windows AppX Deployment Service不当处理硬连结所致。SandboxEscaper则展示了她依然可攻陷CVE-2019-0841。最后一个权限扩张漏洞则与Windows Installer有关。
根据SandboxEscaper的描述，IE 11的沙箱逃逸漏洞允许骇客在IE中注入恶意程式。
对于SandboxEscaper的行为，资安社群有各种角度的看法，有人认为她所发现的漏洞颇为一致，可能是从同一逻辑衍生的；有人认为这些漏洞都需要从本地端入侵，要搭配其它恶意程式或漏洞才有威力；有人认为就算她的成果不符合微软抓漏奖励资格，微软也应考虑有所表示；还有人说SandboxEscaper也许是亚斯伯格（Aspergers Syndrome，AS）患者，才难以与他人打交道。
SandboxEscaper则说自己讨厌这个世界。
