В утилите Razer Synapse, которая используется для установки драйверов и настройки периферийных устройств от компании Razer, нашли опасную уязвимость. Как оказалось, простое подключение мышки или клавиатуры Razer к компьютеру на Windows 10 или Windows 11 превращает эту программу в хакерский инструмент, открывая полный доступ к операционной системе.
На недоработку указал исследователь в сфере кибербезопасности под ником jonhat. По его словам, при подключении периферии Razer к ПК операционная система начинает автоматическую загрузку и установку Razer Synapse. Исполняемый файл RazerInstaller.exe запускается с помощью процесса с системными привилегиями, при этом установщик получает те же права наивысшего уровня.
Затем мастер установки ПО предлагает выбрать папку для распаковки файлов. В этом и заключается уязвимость: если нажать Shift и кликнуть правой кнопкой мышки на диалоговое окно "Выбор папки", может будет запустить утилиту PowerShell, которая унаследует все привилегии от системного процесса. Получение прав администратора означает, что злоумышленник сможет делать на компьютере все, что захочет, в том числе удалять любые файлы и устанавливать вредоносные программы.
Need local admin and have physical access?
— jonhat (@j0nh4t) August 21, 2021
- Plug a Razer mouse (or the dongle)
- Windows Update will download and execute RazerInstaller as SYSTEM
- Abuse elevated Explorer to open Powershell with Shift+Right click
Tried contacting @Razer, but no answers. So here's a freebie pic.twitter.com/xDkl87RCmz
Авторы издания BleepingComputer подтвердили, что описанный специалистом способ работает даже с самыми дешевыми мышками Razer. Тем не менее, для эксплуатации уязвимости требуется физический доступ к компьютеру.
Razer Synapse — эта утилита, позволяющая настраивать игровые мышки и клавиатуры Razer, создавать макросы, менять назначение кнопок и сохранять конфигурации в облаке. В компании говорят, что Razer Synapse пользуются более 100 миллионов человек по всему миру.
По словам jonhat, сначала в Razer не отреагировали на его замечания, поэтому он решил рассказать об этом публично в твиттере. Когда проблема привлекла внимание общественности, представители компании вышли на связь и пообещали устранить ошибку в самое ближайшее время, а эксперту выплатить вознаграждение.
