Google-მა Microsoft-ს 90 დღე მისცა უსაფრთხოების ხარვეზის გამოსასწორებლად; Microsoft-მა ვერ შეძლო
Google-ის Project Zero-ს უსაფრთხოების მკვლევარებმა საჯაროდ განაცხადეს Microsoft Edge-ში უსაფრთხოების უზარმაზარი ხარვეზის შესახებ, რომელიც საშუალებას გაძლევთ ჩატვირთოთ მავნე კოდი მეხსიერებაში. თუმცა, Microsoft-ს ეცნობა უსაფრთხოების ხარვეზის შესახებ და მისცა 90 დღე მის გამოსასწორებლად, სანამ ის საჯაროდ არ გამჟღავნდება. როგორც ჩანს, მაიკროსოფტმა ვერ შეასრულა ვადა.
Google-ის მკვლევარებმა განაცხადეს Microsoft Edge ბრაუზერის თვითნებური კოდის დაცვის (ACG) უსაფრთხოების ხარვეზის შესახებ.[1] გამოვა 2017 წლის ნოემბერში. Microsoft-მა მოითხოვა გახანგრძლივებული ვადა, ხოლო Google-მა დამატებითი 14 დღე მისცა ხარვეზის გამოსასწორებლად და თებერვლის Patch-ის სამშაბათს მისაწოდებლად.
თუმცა, Microsoft-ის ამ თვის პატჩებს არ ჰქონდათ გამოსწორება ამ დაუცველობისთვის. კომპანია ამბობს, რომ „გამოსწორება უფრო რთულია, ვიდრე თავდაპირველად იყო მოსალოდნელი“. შესწორება სავარაუდოდ გამოქვეყნდება მომავალ პაჩ სამშაბათს, 13 მარტს.[2] თუმცა, ეს არ არის დადასტურებული.
Microsoft Edge დაუცველობა მოხსენებულია Chromium ბლოგზე
Microsoft Edge-ის მომხმარებლები აღარ უნდა გრძნობდნენ თავს უსაფრთხოდ და მშვიდად. Google-მა გაავრცელა ინფორმაცია შეცდომის შესახებ და როგორ მუშაობს იგი. ამიტომ, ყველას, ვინც ეძებს ხარვეზს, რათა გამოიყენოს კიბერშეტევა, ახლა შეუძლია ისარგებლოს ამით.
Google-ის მკვლევარმა ივან ფრატრიკმა აღმოაჩინა დაუცველობა Microsoft-ის თვითნებური კოდის დაცვის სისტემაში (ACG), რომელიც შეფასდა, როგორც "საშუალო." ხარვეზი გავლენას ახდენს Just In Time (JIT) შემდგენელზე JavaScript-ისთვის და საშუალებას აძლევს თავდამსხმელებს ჩატვირთონ მავნე კოდი. პრობლემა აღწერილია Chromium ბლოგში:[3]
თუ კონტენტის პროცესი კომპრომეტირებულია და კონტენტის პროცესს შეუძლია წინასწარ განსაზღვროს, რომელ მისამართზე გამოიძახებს JIT პროცესი VirtualAllocEx() (შენიშვნა: ეს საკმაოდ პროგნოზირებადია), კონტენტის პროცესს შეუძლია:
1. ზემოთ მოყვანილი საზიარო მეხსიერების რუკის გაუქმება UnmapViewOfFile() გამოყენებით
2. გამოყავით ჩასაწერი მეხსიერების რეგიონი იმავე მისამართზე JIT სერვერი, რომელიც აპირებს ჩაწეროს და ჩაწეროს იქ მალე შესასრულებელი დატვირთვა.
3. როდესაც JIT პროცესი გამოიძახებს VirtualAllocEx(), მიუხედავად იმისა, რომ მეხსიერება უკვე გამოყოფილია, ზარი წარმატებული იქნება და მეხსიერების დაცვა დაყენდება PAGE_EXECUTE_READ.
ეს არ არის პირველი შემთხვევა, როდესაც Google საჯაროდ აქვეყნებს ხარვეზებს Microsoft-ის პროდუქტებში
2016 წელს Google-ის მკვლევარებმა Windows 10-ში ხარვეზი აღმოაჩინეს. მსგავსი სიტუაცია იყო. მაიკროსოფტი ინფორმირებული იყო დაუცველობის შესახებ, რომელიც საშუალებას აძლევდა თავდამსხმელებს დაეყენებინათ უკანა კარი Windows კომპიუტერზე.
თუმცა, Google დიდხანს არ გაჩუმდა. მათ მხოლოდ 10 დღე დასჭირდათ „კრიტიკული“ დაუცველობის გასაჯაროებას. მაშინ Google-მა Google Chrome-ის მომხმარებლებისთვის გამოასწორა. თუმცა, თავად Windows OS რჩება დაუცველი.
მას შემდეგ, რაც ორი წლის წინ გაჩნდა ახალი ამბები კრიტიკული დაუცველობის შესახებ, Microsoft-ის სპიკერმა თქვა, რომ „გუგლის მიერ გამჟღავნება პოტენციურ საფრთხეში აყენებს მომხმარებლებს“.[4]
გასულ წელს Google-მა გამოაცხადა "გიჟური ცუდი" შესახებ[5] დაუცველობა Windows 10-ში, რომელიც საშუალებას აძლევს კოდის დისტანციურად შესრულებას. თუმცა, Microsoft-მა მოახერხა პრობლემის მოგვარება Patch Tuesday-ის უახლესი განახლებებით. თუმცა, როგორც ჩანს, უსაფრთხოების პრობლემების დროულად გადაჭრა შესაძლებელია.