微软有一个关于Cortana的安全更新，值得一看。

CVE-2018-8140是关于“Cortana提升特权脆弱性”的。

这个漏洞是“Cortana在不考虑状态的情况下从用户输入服务中检索数据”。成功利用该漏洞的攻击者可以使用提升的权限执行命令。”

但是，要使攻击成功，攻击者需要物理/控制台访问—系统需要启用Cortana帮助。

更新的内容是什么?通过确保Cortana在从输入服务检索信息时考虑状态，可以解决该漏洞。

这个故事开始于六月的“补丁星期二”(6月12日)，当它到来的时候，你可以发誓音乐带着低沉的警铃。

这个周期的补丁修复了一个使用Windows 10和Cortana语音助手默认设置的代码执行漏洞。用技术行话来说，我们正在研究发现“Cortana锁屏绕过Windows 10漏洞”的问题。

McAfee工程师、安全架构师塞德里克•科钦(Cedric Cochin)和负责高级威胁研究的史蒂夫•波沃尼(Steve Povolny)撰写了有关Windows 10小娜问题的文章。他们向读者介绍了所发生的事情。

他们写道:“Siri、Alexa、谷歌Assistant和Cortana等个人数字助手已成为许多科技公司的商品。”他们还向微软报告了关于Cortana的几个问题。有报道称，他们在4月份向微软披露了这一问题的细节。

Cochin和Povolny的团队注意到，“在我们提交论文的时候，一个由几名独立研究人员组成的团队也发现并揭示了这个漏洞。”这项发现的额外荣誉归于:Ron Marcovich, Yuval Ron, Amichai Shulman和Tal Be"ery。

虽然两个提供了一个有趣的详细的帐户被确认为脆弱点,达伦·阿伦TechRadar提供了一个简洁的实得的是什么大不了的:“你可以触发语音助理从锁定屏幕(如果启用Cortana在这方面,在默认设置),并弹出上下文窗口10菜单简单查询通过输入而Cortana听。”

是的，微软已经修补了这些问题。

“在Windows 10中，在提交时的最新版本中，我们注意到默认设置启用了锁屏的‘嘿Cortana’，允许任何人与基于语音的助手进行交互。”

两人表示，这导致了允许任意代码执行的漏洞。他们说，在Cortana开始监听锁定设备上的查询时打字，会弹出一个Windows上下文菜单。

(露出痛苦的微笑。)

“我们现在有一个上下文菜单，显示在一个锁定的Windows 10设备上，”他们说。“会出什么问题呢?”

Windows Central说，如果黑客执行正确，“黑客可以从锁定屏幕使用Cortana运行PowerShell脚本或从u盘加载恶意软件。”丹·索普·兰开斯特说:“研究人员还可以利用这一漏洞进行密码重置，并获得对电脑的完全访问权。”

他们可以在任何相关的比赛。如果匹配是由文件名匹配驱动的，那么您将看到文件的完整路径。如果匹配是由文件内容匹配驱动的，那么您可能会看到文件本身的内容。

迈克菲夫妇进一步详细地介绍了他们对小娜的检查，最后他们指出了特别重要的一点。“语音指令和个人数字助理生成的攻击界面需要更多的调查;我们只是在这个关键领域进行大量研究的冰山一角。”