Google даде на Microsoft 90 дни, за да коригира пропуск в сигурността; Microsoft се провали
Изследователи по сигурността в Project Zero на Google публично съобщиха за огромен пропуск в сигурността в Microsoft Edge, който позволява зареждане на злонамерен код в паметта. Въпреки това, Microsoft беше уведомен за грешката в сигурността и получи 90 дни, за да я поправи, докато не бъде разкрита публично. Очевидно Microsoft не успя да спази крайния срок.
Изследователи на Google съобщиха за пропуск в сигурността в Arbitrary Code Guard (ACG) на браузъра Microsoft Edge[1] функция през ноември 2017 г. Microsoft поиска удължения срок и Google даде допълнителни 14 дни, за да поправи грешката и да я предостави във февруарската корекция във вторник.
Въпреки това, корекциите за този месец от Microsoft нямаха корекция за тази уязвимост. Компанията казва, че „поправката е по-сложна, отколкото първоначално се очакваше“. Очаква се корекцията да бъде пусната в предстоящата корекция във вторник на 13 март.[2] Въпреки това, не е потвърдено.
Уязвимостта на Microsoft Edge се съобщава в блога на Chromium
Потребителите на Microsoft Edge вече не трябва да се чувстват сигурни и здрави. Google пусна информацията за грешката и как работи. Следователно всеки, който търси недостатък, който да използва, за да започне кибератака, вече може да се възползва от него.
Изследователят на Google Иван Фратрик откри уязвимост в Arbitrary Code Guard (ACG) на Microsoft, която беше оценена като "средно." Недостатъкът засяга компилатора Just In Time (JIT) за JavaScript и позволява на нападателите да заредят злонамерен файл код. Проблемът е описан в блога на Chromium:[3]
Ако процесът на съдържание е компрометиран и процесът на съдържание може да предвиди на кой адрес JIT процесът ще извика следващия VirtualAllocEx() (забележка: това е доста предсказуемо), процесът на съдържание може:
1. Премахнете картата на споделената памет, картирана по-горе, като използвате UnmapViewOfFile()
2. Разпределете записваема област на паметта на същия адрес, който JIT сървърът ще запише и напише там скоро изпълним полезен товар.
3. Когато JIT процес извика VirtualAllocEx(), въпреки че паметта вече е разпределена, обаждането ще бъде успешно и защитата на паметта ще бъде настроена на PAGE_EXECUTE_READ.
Това не е първият път, когато Google публично разкрива недостатъци в продуктите на Microsoft
През 2016 г. изследователи на Google откриха недостатък в Windows 10. Ситуацията беше подобна. Microsoft беше информиран за уязвимостта, която позволи на нападателите да инсталират бекдор на компютър с Windows.
Google обаче не мълча дълго. Отне им само 10 дни, за да разкрият за „критичната“ уязвимост. Тогава Google внедри корекция за потребителите на Google Chrome. Самата ОС Windows обаче остава уязвима.
След като новината за критична уязвимост се появи преди две години, говорителят на Microsoft каза, че „разкриването от Google излага клиентите на потенциален риск“.[4]
Миналата година Google съобщи за „лудо лошо“[5] уязвимост в Windows 10, която позволява отдалечено изпълнение на код. Въпреки това, Microsoft успя да отстрани проблема с най-новите актуализации на Patch Tuesday. Въпреки това изглежда, че е възможно да се решат проблемите със сигурността навреме.