Google gab Microsoft 90 Tage Zeit, um Sicherheitslücken zu beheben; Microsoft ist gescheitert
Sicherheitsforscher von Googles Project Zero berichteten öffentlich über eine riesige Sicherheitslücke in Microsoft Edge, die es ermöglicht, einen bösartigen Code in den Speicher zu laden. Microsoft wurde jedoch über den Sicherheitsfehler informiert und erhielt 90 Tage Zeit, um ihn zu beheben, bis er öffentlich bekannt wurde. Offenbar hat Microsoft die Frist nicht eingehalten.
Google-Forscher berichteten über eine Sicherheitslücke im Microsoft Edge-Browser Arbitrary Code Guard (ACG)[1] Funktion im November 2017. Microsoft bat um die verlängerte Frist, und Google gab weitere 14 Tage Zeit, um den Fehler zu beheben und ihn am Patch-Dienstag im Februar bereitzustellen.
Die Patches von Microsoft in diesem Monat enthielten jedoch keinen Fix für diese Sicherheitsanfälligkeit. Das Unternehmen sagt, dass „die Lösung komplexer ist als ursprünglich erwartet“. Der Fix wird voraussichtlich am kommenden Patch-Dienstag am 13. März veröffentlicht.[2] Es ist jedoch nicht bestätigt.
Die Sicherheitsanfälligkeit in Microsoft Edge wird im Chromium-Blog gemeldet
Benutzer von Microsoft Edge sollten sich nicht mehr sicher fühlen. Google hat die Informationen über den Fehler und seine Funktionsweise veröffentlicht. Daher kann jeder, der nach einem Fehler sucht, den er ausnutzen kann, um einen Cyberangriff zu starten, diesen jetzt ausnutzen.
Der Google-Forscher Ivan Fratric hat eine Schwachstelle in Microsofts Arbitrary Code Guard (ACG) gefunden, die als. eingestuft wurde "Mittel." Der Fehler betrifft den Just-In-Time-Compiler (JIT) für JavaScript und ermöglicht es Angreifern, ein bösartiges Code. Das Problem wird im Chromium-Blog beschrieben:[3]
Wenn ein Inhaltsprozess kompromittiert ist und der Inhaltsprozess vorhersagen kann, an welcher Adresse der JIT-Prozess als nächstes VirtualAllocEx() aufrufen wird (Hinweis: es ist ziemlich vorhersehbar), kann der Inhaltsprozess:
1. Unmap den oben abgebildeten Shared Memory mit UnmapViewOfFile() aufheben
2. Weisen Sie einen beschreibbaren Speicherbereich auf der gleichen Adresse zu, in der der JIT-Server eine bald ausführbare Nutzlast schreiben und schreiben wird.
3. Wenn der JIT-Prozess VirtualAllocEx() aufruft, obwohl der Speicher bereits zugewiesen ist, wird der Aufruf erfolgreich sein und der Speicherschutz wird auf PAGE_EXECUTE_READ gesetzt.
Es ist nicht das erste Mal, dass Google Fehler in Microsoft-Produkten öffentlich macht
2016 entdeckten Google-Forscher einen Fehler in Windows 10. Die Situation war ähnlich. Microsoft wurde über die Sicherheitslücke informiert, die es Angreifern ermöglichte, eine Hintertür auf einem Windows-Computer zu installieren.
Allerdings hat Google nicht lange geschwiegen. Sie brauchten nur 10 Tage, um die „kritische“ Sicherheitslücke offenzulegen. Damals hatte Google einen Fix für Google Chrome-Benutzer bereitgestellt. Das Windows-Betriebssystem selbst bleibt jedoch anfällig.
Nachdem vor zwei Jahren die Nachricht über kritische Sicherheitslücken bekannt wurde, sagte ein Microsoft-Sprecher, dass „eine Offenlegung durch Google ein potenzielles Risiko für Kunden darstellt“.[4]
Letztes Jahr berichtete Google über „crazy bad“[5] Sicherheitslücke in Windows 10, die Remotecodeausführung ermöglichte. Microsoft hat es jedoch geschafft, das Problem mit den neuesten Patch-Dienstag-Updates zu beheben. Es scheint jedoch möglich zu sein, Sicherheitsprobleme rechtzeitig zu lösen.