O Google deu à Microsoft 90 dias para consertar a falha de segurança; Microsoft falhou
Os pesquisadores de segurança do Project Zero do Google relataram publicamente sobre uma enorme falha de segurança no Microsoft Edge, que permite carregar um código malicioso na memória. No entanto, a Microsoft foi notificada sobre o bug de segurança e teve 90 dias para corrigi-lo até que seja divulgado publicamente. Aparentemente, a Microsoft não cumpriu o prazo.
Pesquisadores do Google relataram sobre uma falha de segurança no navegador Microsoft Edge Arbitrary Code Guard (ACG)[1] recurso em novembro de 2017. A Microsoft solicitou a extensão do prazo, e o Google deu mais 14 dias para corrigir o bug e fornecê-lo no Patch Tuesday de fevereiro.
No entanto, os patches deste mês da Microsoft não tiveram uma correção para esta vulnerabilidade. A empresa diz que “a solução é mais complexa do que o inicialmente previsto”. Espera-se que a correção seja lançada na próxima terça-feira do Patch, no dia 13 de março.[2] No entanto, não está confirmado.
A vulnerabilidade do Microsoft Edge é relatada no blog do Chromium
Os usuários do Microsoft Edge não devem mais se sentir sãos e salvos. O Google divulgou as informações sobre o bug e como ele funciona. Portanto, qualquer pessoa que esteja procurando uma falha para explorar a fim de lançar um ataque cibernético pode agora tirar vantagem dela.
O pesquisador do Google Ivan Fratric encontrou uma vulnerabilidade no Arbitrary Code Guard (ACG) da Microsoft que foi classificado como "médio." A falha afeta o compilador Just In Time (JIT) para JavaScript e permite que os invasores carreguem um arquivo malicioso código. O problema é descrito no blog do Chromium:[3]
Se um processo de conteúdo estiver comprometido e o processo de conteúdo puder prever em qual endereço o processo JIT chamará VirtualAllocEx () em seguida (nota: é bastante previsível), o processo de conteúdo pode:
1. Remova o mapeamento da memória compartilhada mapeada acima usando UnmapViewOfFile ()
2. Alocar uma região de memória gravável no mesmo endereço O servidor JIT irá gravar e gravar uma carga útil que logo será executável lá.
3. Quando o processo JIT chama VirtualAllocEx (), mesmo que a memória já esteja alocada, a chamada terá sucesso e a proteção de memória será definida como PAGE_EXECUTE_READ.
Não é a primeira vez que o Google divulga publicamente falhas em produtos Microsoft
Em 2016, pesquisadores do Google descobriram uma falha no Windows 10. A situação era semelhante. A Microsoft foi informada sobre a vulnerabilidade que permite que invasores instalem um backdoor no computador Windows.
No entanto, o Google não ficou em silêncio por muito tempo. Eles levaram apenas 10 dias para divulgar a vulnerabilidade “crítica”. Naquela época, o Google implantou uma correção para os usuários do Google Chrome. No entanto, o próprio sistema operacional Windows permanece vulnerável.
Depois que a notícia sobre a vulnerabilidade crítica surgiu há dois anos, o porta-voz da Microsoft disse que “a divulgação pelo Google coloca os clientes em risco potencial”.[4]
No ano passado, o Google relatou sobre “loucamente ruim”[5] vulnerabilidade no Windows 10 que permitia a execução remota de código. No entanto, a Microsoft conseguiu corrigir o problema com as atualizações mais recentes do Patch Tuesday. Porém, parece que é possível resolver os problemas de segurança a tempo.