פרויקט אפס של גוגל מדליף פגיעות של Microsoft Edge ו-IE ללא תיקון

גם מפתחי תוכנה וגם משתמשי מחשבים מודאגים מאוד ממספר הולך וגדל של התקפות סייבר. משתמשי מחשב ביתי, עסקים קטנים ואפילו חברות ענק הפסידו מיליוני דולרים לאחר שהמחשבים האישיים שלהם נחטפו על ידי וירוסי כופר, כגון Cryptolocker, FBI, Ukash, Locky ורבים אחרים. בעוד שהתקפות כופר הן החמורות ביותר, יש המון שיטות אחרות שהאקרים משתמשים בהן כדי להרוויח על ידי סחיטת אנשים. ענקיות הטכנולוגיה, כולל מיקרוסופט, תמיד עבדו קשה כדי להבטיח את הגנת המשתמשים, אבל ככל הנראה, ישנם מאות מתכנתים מקצועיים בקרב האקרים שמצליחים לנצל את המינימום האבטחה פגיעויות. מדובר בסוגיה מתמשכת, הנדונה בהרחבה באינטרנט וננקטים צעדים שונים כדי למנוע מהאקרים להונות אנשים.

לאחרונה, מיקרוסופט נקלעה למצב חסר קנאה לאחר צוות מחקר האבטחה Project Zero של גוגל חשפה פגיעות חמורה בדפדפני האינטרנט Edge ו-Internet Explorer של מיקרוסופט בסוף נובמבר 2016. הפגיעות (המופיעה באינדקס כ-CVE-2017-0038) ידועה כבאג בלבול סוג, שנובע מקובץ HTML שבו JavaScript מפרמט מחדש את מאפייני StyleSheet של טבלת HTML. כתוצאה מכך, מקור בלבול הסוג גורם לפרצת האבטחה של דפדפן האינטרנט. כפי שציין מסד הנתונים הלאומי לפגיעות, באג זה "מאפשר לתוקפים מרוחקים לבצע קוד שרירותי באמצעות וקטורים הכוללים רצף אסימון של Cascading Style Sheets (CSS) וקוד JavaScript מעוצב הפועל על [table-header] אֵלֵמֶנט."

Project Zero הודיע ​​למיקרוסופט על הפגם ב-IE/Edge ב-25 בנובמבר 2016, ונתן 90 יום לשחרר את התיקון. אחרת, Project Zero יחשוף את פרטי הפגיעות בפומבי. מיקרוסופט הכירה בבעיה, ולדעתנו עבדה קשה כדי לתקן את הסדק, אם כי לשווא. היה צפוי שהתיקון ישוחרר עם התיקון של פברואר ביום שלישי, אשר, למרבה הצער, בוטל מסיבות שטרם ידועות. יום שלישי התיקון הרגיל מתוכנן למרץ בלבד. עד שמיקרוסופט תשחרר את התיקון, מומחי אבטחה ממליצים לאנשים לנקוט באמצעי זהירות ולהסתמך על Google Chrome (גרסת 64 סיביות) במקום Edge או IE. חוץ מזה, מעבר ל-Windows 10 מגרסאות קודמות הוא גם אמצעי זהירות שמומלץ לנקוט.

שאלה לוהטת נוספת הקשורה לבאג Edge ו-IE של מיקרוסופט היא האם אנשים צריכים לסמוך על תיקוני צד שלישי או לא. Acros Security חשפה תיקון זמני לפגיעות בלבול של Internet Explorer ו-Edge Type, אשר עשויה למנוע ביצוע של קודים זדוניים. Acros Security מכוון לפגיעויות שלא תואמו, למוצרים בסוף החיים ולמוצרים שאינם נתמכים, לתוכנות צד שלישי פגיעות וכדומה. יצוין כי תיקון זה ישים עבור רוב הפגיעויות הניתנות לניצול (למשל מחרוזות פורמט, שתילה בינארית, הזרקות DLL, מאגרים לא מסומנים, תיקון נתונים וכו'). עם זאת, מיקרוסופט לא ממליצה למשתמשי Windows לסמוך על תיקוני צד שלישי. בעוד המפתחים של Acros Security 0patch טוענים שהתיקון בוטל ברגע שהמשתמש מתקין את התיקון הרשמי ששוחרר על ידי ספק מערכת ההפעלה. עם זאת, לדברי איש האבטחה כריס גוטל, "ברגע שמיקרוסופט תשחרר תיקון האם היא תתקין מעל השינויים מ-0Patch? אם מתרחשות בעיות כלשהן, זה משאיר את המשתמש\חברה באזור אפור." לכן, כדי לקבל תמיכה מלאה והכל תיקונים זמינים מ-Microsoft, מוטב שלא תאפשר לצדדים שלישיים לשנות את הרכיבים של Microsoft בשום צורה דֶרֶך.