Een ernstig beveiligingslek in de laatste bètaversie van Windows 7 maakt het voor aanvallers mogelijk om de User Account Control (UAC) functie uit te schakelen en op die manier schadelijke software te installeren, volgens Microsoft gaat het hier om een ontwerpkeuze. Mede doordat UAC in Vista massaal vervloekt werd, heeft Microsoft nieuwe regels opgesteld voor de functie in Windows 7. Gebruikers kunnen wel instellingen veranderen, maar voor wijzigingen van systeeminstellingen is nog wel autorisatie nodig.
Beveiligingsonderzoeker Long Zhen ontdekte dat UAC is uit te schakelen zonder dat de gebruiker hier melding van krijgt, waardoor het mogelijk is om malware te installeren. Microsoft houdt vol dat het geen beveiligingslek is, omdat het script dat UAC uitschakelt al op de PC moet staan, wat betekent dat het systeem al gecompromitteerd is.
Om de aanval te laten slagen moet de gebruiker zich in de "Administrative groep" bevinden en niet in de "Standard" gebruikersgroep, waar er een wachtwoord vereist is. De Administrative groep is echter standaard ingesteld en waarschijnlijk ook datgene wat de meeste eindgebruikers zullen draaien. Volgens Zhen is het probleem makkelijk op te lossen door UAC melding te laten geven wanneer er instellingen binnen Windows zijn veranderd.
Deze posting is gelocked. Reageren is niet meer mogelijk.