يوفر YubiKey لمستخدمي Windows تحذيرًا أمنيًا من YubiKey

عندما يتعلق الأمر بمصادقة المستخدم، هناك العديد من الخيارات، بدءًا من كلمات المرور الموجودة على الطرف الضعيف من طيف الأمان إلى مفاتيح الأجهزة على الجانب الآخر. ولكن ماذا لو كان مفتاح أمان الأجهزة الذي تستخدمه يجعل نظام التشغيل الخاص بك عرضة للهجوم؟ أصدرت شركة Yubico، الشركة الأمنية التي تقف وراء مجموعة منتجات YubiKey، تحذيرًا أمنيًا لتنبيه مستخدمي Windows حول السيناريو.

يوبيكو استشارية السلامة YSA-2024-01

تعتبر YubiCo أن نطاق مفاتيح أمان أجهزة YubiKey الخاص بها هو أحد منتجات المصادقة الأكثر أمانًا. عليك فقط أن تنظر إذا كنت بحاجة إلى دليل صفحة نصائح الأمان الخاصة بشركة Yubico الإدخالات غير المدرجة في عام 2022، وواحدة لعام 2023 وواحدة لعام 2024 في السنوات الثلاث الماضية. إنها الأخيرة التي تؤثر على مستخدمي Windows، على الرغم من أنها لا تؤثر على أولئك الذين يستخدمون Edge كعميل متصفح الويب المفضل لديهم.

المزيد من فوربسمفاجأة أمان Windows حيث تؤكد Microsoft وجود 90 نقطة ضعف جديدةبواسطة ديفي وينتر

يوبيكو الاستشارة الأمنية YSA-2024-01 فيما يتعلق ببرنامج UPK Manager، فهو يعاني من ثغرة قد تؤدي إلى تصعيد هجوم الامتيازات لمستخدمي Windows. تم إدراجها على أنها معرضة للخطر CVE-2024-31498 ويمتلك نظام تسجيل نقاط الضعف الشائعة تصنيف 7.7.

يقول Yubico، “إذا قام مستخدم بتشغيل واجهة المستخدم الرسومية UPK Manager كمسؤول، فقد يتم فتح نوافذ المتصفح المفتوحة بواسطة واجهة المستخدم الرسومية UPK Manager كمسؤول، والتي يمكن للمهاجمين المحليين استخدامها لتنفيذ الإجراءات كمسؤول.” إذا كان هذا يبدو مثيرًا للقلق، فهذا لأنه كذلك بالفعل. يمكن للمهاجم الذي يجب أن يكون لديه بالفعل وصول محلي إلى جهاز الكمبيوتر المتأثر الذي يعمل بنظام Windows استخدام تصعيد الامتيازات هذا لاختراق النظام بشكل أكبر. يحذر Ubico من أن “المهاجم يمكن أن يستخدم هذه المشكلة لزيادة الهجمات المحلية وزيادة تأثير الهجمات المستندة إلى المتصفح”.

المزيد من فوربساكتشاف ثغرات أمنية خطيرة في البريد الإلكتروني أهم 4 – Apple وGmail وOutlook وYahoo!بواسطة ديفي وينتر

البرامج والأنظمة المتأثرة

يؤثر CVE-2024-31498 على إصدارات YubiKey Manager الأقدم من 1.2.6 ومستخدمي Windows الذين لا يستخدمون Edge كمتصفحهم الافتراضي. يوضح Yubico أن هذا يؤثر فقط على مستخدمي Windows لأن نظام التشغيل يتطلب حقوقًا إدارية للتواصل مع مصدقي FIDO مثل YubiKey. في أنظمة التشغيل الأخرى، هذا المستوى من الأذونات المرتفعة غير مطلوب. ولذلك، يُنصح مستخدمو Windows بالنقر فوق القائمة “حول” في البرنامج والتحقق من الإصدار الذي يستخدمونه. يجب تحديث أي شيء قبل 1.2.6 وفقًا لذلك. ربما أحدث إصدار من مدير UBK تم التحميل مباشرة من موقع يوبيكو أو جيثب.

إجراءات تخفيف أخرى لثغرة أمنية UPK Manager

يعد Fast Identity Online Alliance معيارًا مفتوحًا للمصادقة، والذي يمكنه، في شكل FIDO2، توفير مصادقة أحادية العامل بدون كلمة مرور وخيارات مصادقة ثنائية ومتعددة العوامل. تنصح يوبيكو المستخدمين بعدم القيام بذلك ميزات فيدو ليست هناك حاجة لتشغيل واجهة المستخدم الرسومية YubiKey Manager كمستخدم ذي امتيازات مرتفعة. يمكن لمستخدمي Windows تكوين Microsoft Edge كمتصفح الويب الافتراضي الخاص بهم لأنه يتضمن بالفعل عوامل تخفيف لمنع توريث الأذونات الإدارية عند تشغيله بطريقة تستغل هذه الثغرة الأمنية. لا أوصي بالتبديل من المتصفح الذي تختاره إلى Edge؛ استخدم مسار تحديث البرنامج بدلاً من ذلك، فلا داعي لذلك لاحقًا.