Гоогле је дао Мицрософту 90 дана да поправи безбедносни пропуст; Мицрософт није успео
Истраживачи безбедности у Гоогле-овом пројекту Зеро јавно су известили о великом безбедносном пропусту у Мицрософт Едге-у који омогућава учитавање злонамерног кода у меморију. Међутим, Мицрософт је обавештен о безбедносној грешци и добио је рок од 90 дана да је поправи док не буде јавно откривен. Очигледно, Мицрософт није успео да испоштује рок.
Гоогле истраживачи су известили о безбедносном пропусту у Мицрософт Едге претраживачу Арбитрари Цоде Гуард (АЦГ)[1] у новембру 2017. Мицрософт је тражио продужени рок, а Гоогле је дао додатних 14 дана да исправи грешку и достави је у фебруарској закрпи у уторак.
Међутим, овомесечне закрпе од Мицрософт-а нису имале решење за ову рањивост. Компанија каже да је „поправка сложенија него што се у почетку очекивало“. Очекује се да ће поправка бити објављена у предстојећој закрпи у уторак 13. марта.[2] Међутим, није потврђено.
Мицрософт Едге рањивост је пријављена на Цхромиум блогу
Корисници Мицрософт Едге-а више не би требало да се осећају безбедно и здраво. Гугл је објавио информације о грешци и како она функционише. Стога, свако ко тражи грешку коју би искористио да би покренуо сајбер напад сада може да је искористи.
Гоогле истраживач Иван Фратриц пронашао је рањивост у Мицрософтовом Арбитрари Цоде Гуард (АЦГ) који је оцењен као „средњи.” Грешка утиче на компајлер Јуст Ин Тиме (ЈИТ) за ЈаваСцрипт и омогућава нападачима да учитају злонамерни програм код. Проблем је описан у Цхромиум блогу:[3]
Ако је процес садржаја компромитован и процес садржаја може да предвиди на којој адреси ће ЈИТ процес следеће позвати ВиртуалАллоцЕк() (напомена: прилично је предвидљив), процес садржаја може:
1. Уклоните мапу заједничке меморије која је горе мапирана помоћу УнмапВиевОфФиле()
2. Доделите меморијски регион на који се може писати на истој адреси. ЈИТ сервер ће тамо писати и написати корисни терет који ће ускоро бити извршни.
3. Када ЈИТ процес позове ВиртуалАллоцЕк(), иако је меморија већ додељена, позив ће бити успешан и заштита меморије ће бити постављена на ПАГЕ_ЕКСЕЦУТЕ_РЕАД.
Није први пут да Гоогле јавно открива недостатке у Мицрософт производима
У 2016, Гоогле истраживачи су открили недостатак у Виндовс 10. Ситуација је била слична. Мицрософт је обавештен о рањивости која је омогућила нападачима да инсталирају бацкдоор на Виндовс рачунар.
Међутим, Гугл није дуго ћутао. Требало им је само 10 дана да открију „критичну“ рањивост. Тада је Гоогле поставио исправку за кориснике Гоогле Цхроме-а. Међутим, сам Виндовс ОС остаје рањив.
Након што су се пре две године појавиле вести о критичној рањивости, портпарол Мајкрософта је рекао да „откривање од стране Гоогле-а доводи клијенте у потенцијални ризик“.[4]
Прошле године Гугл је известио о "лудо лошем"[5] рањивост у Виндовс-у 10 која је дозвољавала даљинско извршавање кода. Међутим, Мицрософт је успео да реши проблем најновијим ажурирањима закрпа у уторак. Ипак, чини се да је могуће решити безбедносне проблеме на време.