罗技击键注射缺陷几个月未得到解决

计算机外围巨头罗技终于发布了其Logitech Options桌面应用程序的补丁版本，之后被带去了几个月的安全漏洞。 该漏洞可能允许攻击者对使用该应用程序的Logitech键盘所有者发起击键注入攻击 。

Google Project Zero安全研究员Tavis Ormandy在9月份发现了该漏洞并在本周公开披露了此漏洞。 Logitech Options应用程序允许用户自定义Logitech计算机外围设备的功能，包括鼠标，键盘和触摸板。

Ormandy报告说，这个缺陷源于这样一个事实：应用程序打开了一个WebSocket服务器，允许从任何网站外部访问应用程序，只需要很少的身份验证。

“唯一的'身份验证'是您必须提供用户拥有的进程的[进程ID]，但是您可以获得无限的猜测，因此您可以在几微秒内强制执行它，”他在Project Zero错误报告中解释说本星期。

从那里，恶意行为者可以使用流氓网站向Options应用程序发送一系列命令并更改用户的设置。 此外，恶意actor可以通过更改一些简单的配置设置来发送任意键击。 反过来，这将允许黑客访问所有方式的信息，甚至接管目标机器。

此外，应用程序设置为在启动时自动运行，因此桌面应用程序的用户实际上是在后台持续运行选项 - 只要用户的计算机处于打开状态，任何攻击者都可以接近连续访问。

诺曼底决定公开披露这个漏洞，因为罗技没有解决这个漏洞三个月，尽管研究人员保证会这样做。

“在9月18日与罗技工程师会面时，他们向我保证他们理解这些问题，并计划添加Origin检查和类型检查，”他说。 “10月1日发布了一个新版本，但据我所知，他们没有解决任何问题。 现在已经过了截止日期，所以要公开。“

修补版本可用

错误报告在Twitter上得到了一些关注 ，其他人则认为Mac版本存在同样的问题。 周四晚些时候，新版本被推出：

Logitech说，发布选项7.00.564解决了这个漏洞，但截至周五上午，Ormandy听起来持怀疑态度。

“在Logitech网页上，他们提到7.00.564的更改：'您现在可以在创建帐户后自动将设备设置备份到云端。 登录您的“选项”帐户并下载备份设置，以便在任何计算机上轻松设置设备。 错误修复和改进。' （这可能意味着什么...）“Ormandy写道。