Google gav Microsoft 90 dagar på sig att åtgärda säkerhetsbrister; Microsoft misslyckades
Säkerhetsforskare vid Googles Project Zero rapporterade offentligt om ett stort säkerhetsbrist i Microsoft Edge som gör det möjligt att ladda en skadlig kod i minnet. Microsoft underrättades dock om säkerhetsfelet och fick 90 dagar på sig att fixa det tills det avslöjas offentligt. Uppenbarligen misslyckades Microsoft med att hålla tidsfristen.
Google-forskare rapporterade om ett säkerhetsfel i Microsoft Edge-webbläsaren Arbitrary Code Guard (ACG)[1] inslag i november 2017. Microsoft bad om den förlängda deadline, och Google gav ytterligare 14 dagar för att fixa buggen och tillhandahålla den i februaris patchtisdag.
Men denna månads patchar från Microsoft hade ingen fix för denna sårbarhet. Företaget säger att "fixen är mer komplex än vad som ursprungligen förväntades." Fixeringen förväntas släppas på kommande Patch Tuesday den 13 mars.[2] Det är dock inte bekräftat.
Microsoft Edge-sårbarhet rapporteras på Chromium-bloggen
Microsoft Edge-användare ska inte längre känna sig trygga och sunda. Google släppte informationen om buggen och hur den fungerar. Därför kan alla som letar efter ett fel att utnyttja för att starta cyberangrepp nu dra fördel av det.
Google-forskaren Ivan Fratric hittade en sårbarhet i Microsofts Arbitrary Code Guard (ACG) som klassades som "medium." Felet påverkar Just In Time (JIT) kompilator för JavaScript och tillåter angripare att ladda en skadlig koda. Problemet beskrivs i Chromium-bloggen:[3]
Om en innehållsprocess äventyras och innehållsprocessen kan förutsäga vilken adress JIT-processen kommer att anropa VirtualAllocEx() härnäst (notera: den är ganska förutsägbar), kan innehållsprocessen:
1. Ta bort kartläggningen av det delade minnet som kartlagts ovan med UnmapViewOfFile()
2. Tilldela en skrivbar minnesregion på samma adress som JIT-servern kommer att skriva och skriva en snart körbar nyttolast där.
3. När JIT-processen anropar VirtualAllocEx(), även om minnet redan är allokerat, kommer anropet att lyckas och minnesskyddet kommer att ställas in på PAGE_EXECUTE_READ.
Det är inte första gången som Google offentligt avslöjar brister i Microsoft-produkter
2016 upptäckte Googles forskare ett fel i Windows 10. Situationen var liknande. Microsoft informerades om sårbarheten som gjorde att angripare kunde installera en bakdörr på Windows-datorn.
Google var dock inte tyst länge. De tog bara 10 dagar att avslöja om "kritisk" sårbarhet. Då hade Google implementerat en fix för Google Chrome-användare. Windows OS i sig förblir dock sårbart.
Efter att nyheten om kritisk sårbarhet dök upp för två år sedan, sa Microsofts talesman att "avslöjande från Google utsätter kunder för en potentiell risk."[4]
Förra året rapporterade Google om "crazy bad"[5] sårbarhet i Windows 10 som möjliggjorde fjärrkörning av kod. Microsoft lyckades dock fixa problemet med de senaste Patch Tuesday-uppdateringarna. Det verkar dock som att det är möjligt att lösa säkerhetsproblem i tid.