„Google“ suteikė „Microsoft“ 90 dienų saugos trūkumui ištaisyti; „Microsoft“ nepavyko
„Google“ projekto „Zero“ saugumo tyrinėtojai viešai pranešė apie didžiulį „Microsoft Edge“ saugos trūkumą, leidžiantį įkelti kenkėjišką kodą į atmintį. Tačiau „Microsoft“ buvo pranešta apie saugos klaidą ir suteikta 90 dienų jai pataisyti, kol ji bus atskleista viešai. Matyt, „Microsoft“ nesilaikė termino.
„Google“ tyrėjai pranešė apie „Microsoft Edge“ naršyklės „Arbitrary Code Guard“ (ACG) saugumo trūkumą.[1] funkcija 2017 m. lapkričio mėn. „Microsoft“ paprašė pratęsti terminą, o „Google“ suteikė papildomų 14 dienų, kad ištaisytų klaidą ir ją pateiktų vasario mėnesio pataisų antradienį.
Tačiau šio mėnesio „Microsoft“ pataisose šis pažeidžiamumas nebuvo pataisytas. Bendrovė teigia, kad „pataisymas yra sudėtingesnis nei iš pradžių tikėtasi“. Tikimasi, kad pataisa bus išleista artėjantį pataisų antradienį, kovo 13 d.[2] Tačiau tai nėra patvirtinta.
Apie „Microsoft Edge“ pažeidžiamumą pranešta „Chromium“ tinklaraštyje
„Microsoft Edge“ vartotojai nebeturėtų jaustis saugūs ir sveiki. „Google“ paskelbė informaciją apie klaidą ir jos veikimą. Todėl visi, kurie ieško trūkumo, kurį galėtų panaudoti, kad galėtų pradėti kibernetinę ataką, dabar gali ja pasinaudoti.
„Google“ tyrėjas Ivanas Fratricas aptiko „Microsoft“ savavališko kodo apsaugos (ACG) pažeidžiamumą, kuris buvo įvertintas kaip „vidutinis“. Trūkumas turi įtakos Just In Time (JIT) „JavaScript“ kompiliatoriui ir leidžia užpuolikams įkelti kenkėjišką kodas. Problema aprašyta „Chromium“ tinklaraštyje:[3]
Jei turinio procesas yra pažeistas ir turinio procesas gali numatyti, kuriuo adresu JIT procesas toliau iškvies VirtualAllocEx() (pastaba: tai gana nuspėjama), turinio procesas gali:
1. Atjunkite aukščiau nurodytos bendrinamos atminties atvaizdą naudodami UnmapViewOfFile()
2. Priskirkite įrašomosios atminties sritį tame pačiame adresu, kurį JIT serveris ketina rašyti, ir įrašykite ten greitą vykdomą naudingąją apkrovą.
3. Kai JIT procesas iškviečia VirtualAllocEx(), net jei atmintis jau yra skirta, skambutis bus sėkmingas ir atminties apsauga bus nustatyta į PAGE_EXECUTE_READ.
Tai ne pirmas kartas, kai „Google“ viešai atskleidžia „Microsoft“ produktų trūkumus
2016 m. „Google“ mokslininkai aptiko „Windows 10“ trūkumą. Situacija buvo panaši. Microsoft buvo informuota apie pažeidžiamumą, leidžiantį užpuolikams įdiegti užpakalines duris Windows kompiuteryje.
Tačiau „Google“ ilgai netylėjo. Jiems prireikė tik 10 dienų, kad atskleistų „kritinį“ pažeidžiamumą. Tada „Google“ įdiegė pataisą „Google Chrome“ naudotojams. Tačiau pati „Windows“ OS išlieka pažeidžiama.
Po to, kai prieš dvejus metus pasirodė naujienos apie kritinį pažeidžiamumą, „Microsoft“ atstovas spaudai sakė, kad „Google“ atskleidimas kelia potencialų pavojų klientams“.[4]
Praėjusiais metais „Google“ pranešė apie „beprotiškai blogą“[5] „Windows 10“ pažeidžiamumas, leidžiantis nuotoliniu būdu vykdyti kodą. Tačiau „Microsoft“ sugebėjo išspręsti problemą su naujausiais „Patch Tuesday“ atnaujinimais. Tačiau atrodo, kad saugumo problemas įmanoma išspręsti laiku.