IT之家 3 月 9 日消息，安全机构Akamai日前公布了微软Win 10/11主题系统中一项名为CVE-2024-21320的漏洞，该漏洞CVSS评分为 6.5，允许黑客使用特制的.theme主题文件远程执行代码。
据介绍，微软Windows资源管理器会默认预加载.theme主题的缩略文件，因此给予了黑客可乘之机，当黑客只需要将相关主题缩略文件参数指向恶意地址，Windows资源管理器便会在加载缩略文件时连接黑客指定的远程UNC路径，进而远程执行代码。
▲ 图源Akamai 安全报告（下同）
IT之家注意到，微软已经在2024年1月份的Windows 10/11 累积更新中缓解了相关漏洞，在相关更新中，微软引入路径验证来对UNC进行验证，同时根据系统策略选择是否允许使用UNC路径，同时引入了一项名为“DisableThumbnailOnNetworkFolder”的注册表项，允许禁用网络缩略图来降低风险。
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。
