Dropbox含有可取得系统权限的安全漏洞
报价宝综合消息Dropbox含有可取得系统权限的安全漏洞
发现Dropbox漏洞的资安研究人员Decoder，公布了漏洞细节以及概念性验证影片。（图片来源／decoder.cloud/2019/12/18/from-dropboxupdater-to-nt-authoritysystem/）
资安研究人员Decoder上周公布了Windows版Dropbox客户端程式的安全漏洞，将允许骇客取得Windows的系统（SYSTEM）权限以执行任意程式。
Decoder与Chris Danieli是在今年9月发现该漏洞并通报Dropbox，当时Dropbox承诺要在10月底修补，在经过了90天的缓冲期之后，Dropbox尚未修补该漏洞，但Decoder选择公布漏洞细节。
根据Decoder的说法，该漏洞并非存在于Dropbox客户端程式本身，出错的是Dropbox用来检查及执行更新的DropBoxUpdater元件，由于DropBoxUpdater是以系统权限执行，因此成功的开采将允许骇客取得系统权限，他最近测试的版本为Dropbox 87.4.138，依然含有该漏洞，可借由“硬连结”（hardlinks）开采，只要当初使用者是以管理员权限进行标准安装，便可能受骇。
目前该漏洞尚未被赋予漏洞编号，Dropbox也还没修补，不过，专门打造微修补程式的0patch已在Decoder公布漏洞细节之后，释出了暂时性的免费修补套件。
