Google deva Microsoft 90 dienas, lai novērstu drošības trūkumu; Microsoft neizdevās
Drošības pētnieki no Google Project Zero publiski ziņoja par milzīgu drošības trūkumu programmā Microsoft Edge, kas ļauj ielādēt atmiņā ļaunprātīgu kodu. Tomēr Microsoft tika informēts par drošības kļūdu un tika dotas 90 dienas, lai to novērstu, līdz tā tiks atklāta publiski. Acīmredzot Microsoft neievēroja noteikto termiņu.
Google pētnieki ziņoja par drošības nepilnībām pārlūkprogrammā Microsoft Edge Arbitrary Code Guard (ACG)[1] funkcija 2017. gada novembrī. Microsoft lūdza pagarināt termiņu, un Google deva papildu 14 dienas, lai novērstu kļūdu un sniegtu to februāra ielāpu otrdienā.
Tomēr šī mēneša Microsoft ielāpos nebija šīs ievainojamības labojuma. Uzņēmums saka, ka "labojums ir sarežģītāks, nekā sākotnēji paredzēts." Paredzams, ka labojums tiks izlaists gaidāmajā ielāpu otrdienā, 13. martā.[2] Tomēr tas nav apstiprināts.
Par Microsoft Edge ievainojamību ziņots Chromium emuārā
Microsoft Edge lietotājiem vairs nevajadzētu justies droši un veseli. Google izlaida informāciju par kļūdu un to, kā tā darbojas. Tāpēc ikviens, kurš meklē trūkumus, ko izmantot, lai uzsāktu kiberuzbrukumu, tagad var to izmantot.
Google pētnieks Ivans Fratričs atklāja ievainojamību Microsoft patvaļīgā koda apsardzē (ACG), kas tika novērtēta kā "vidējs." Trūkums ietekmē JavaScript kompilatoru Just In Time (JIT) un ļauj uzbrucējiem ielādēt ļaunprātīgu kodu. Problēma ir aprakstīta Chromium emuārā:[3]
Ja satura process ir apdraudēts un satura process var paredzēt, uz kuru adresi JIT process nākamreiz izsauks VirtualAllocEx() (piezīme: tas ir diezgan paredzams), satura process var:
1. Atvienojiet iepriekš norādītās koplietotās atmiņas karti, izmantojot UnmapViewOfFile()
2. Piešķiriet rakstāmās atmiņas apgabalu tajā pašā adresē, kurā JIT serveris gatavojas rakstīt, un tur ierakstīs drīzumā izpildāmu lietderīgo slodzi.
3. Ja JIT process izsauc VirtualAllocEx(), pat ja atmiņa jau ir piešķirta, zvans būs veiksmīgs un atmiņas aizsardzība tiks iestatīta uz PAGE_EXECUTE_READ.
Šī nav pirmā reize, kad Google publiski atklāj Microsoft produktu trūkumus
2016. gadā Google pētnieki atklāja kļūdu operētājsistēmā Windows 10. Situācija bija līdzīga. Microsoft tika informēta par ievainojamību, kas ļāva uzbrucējiem instalēt aizmugures durvis Windows datorā.
Tomēr Google ilgi neklusēja. Viņiem bija nepieciešamas tikai 10 dienas, lai atklātu “kritisko” ievainojamību. Toreiz Google bija ieviesis labojumu Google Chrome lietotājiem. Tomēr pati Windows OS joprojām ir neaizsargāta.
Pēc tam, kad pirms diviem gadiem parādījās ziņas par kritisko ievainojamību, Microsoft pārstāvis sacīja, ka "Google informācijas atklāšana pakļauj klientus potenciālam riskam."[4]
Pagājušajā gadā Google ziņoja par "traki sliktu"[5] ievainojamība sistēmā Windows 10, kas ļāva attālināti izpildīt kodu. Tomēr Microsoft izdevās novērst problēmu ar jaunākajiem ielāpu otrdienas atjauninājumiem. Tomēr šķiet, ka drošības problēmas ir iespējams atrisināt savlaicīgi.