Google ให้เวลา Microsoft 90 วันในการแก้ไขข้อบกพร่องด้านความปลอดภัย Microsoft ล้มเหลว
นักวิจัยด้านความปลอดภัยที่ Project Zero ของ Google รายงานต่อสาธารณะเกี่ยวกับข้อบกพร่องด้านความปลอดภัยขนาดใหญ่ใน Microsoft Edge ซึ่งทำให้สามารถโหลดโค้ดที่เป็นอันตรายลงในหน่วยความจำได้ อย่างไรก็ตาม Microsoft ได้รับแจ้งเกี่ยวกับจุดบกพร่องด้านความปลอดภัยและให้เวลา 90 วันในการแก้ไขจนกว่าจะเปิดเผยต่อสาธารณะ เห็นได้ชัดว่า Microsoft ล้มเหลวในการดำเนินการตามกำหนดเวลา
นักวิจัยของ Google รายงานเกี่ยวกับข้อบกพร่องด้านความปลอดภัยในเบราว์เซอร์ Microsoft Edge Arbitrary Code Guard (ACG)[1] คุณลักษณะในเดือนพฤศจิกายน 2017 Microsoft ขอขยายกำหนดเวลาและ Google ให้เวลาอีก 14 วันเพื่อแก้ไขข้อผิดพลาดและให้บริการใน Patch Tuesday ของเดือนกุมภาพันธ์
อย่างไรก็ตาม แพตช์เดือนนี้จาก Microsoft ไม่ได้แก้ไขช่องโหว่นี้ บริษัทกล่าวว่า "การแก้ไขซับซ้อนกว่าที่คาดการณ์ไว้ในตอนแรก" การแก้ไขนี้คาดว่าจะเปิดตัวใน Patch Tuesday ที่จะถึงในวันอังคารที่ 13 มีนาคม[2] อย่างไรก็ตาม ไม่ได้รับการยืนยัน
มีการรายงานช่องโหว่ของ Microsoft Edge บนบล็อก Chromium
ผู้ใช้ Microsoft Edge ไม่ควรรู้สึกปลอดภัยอีกต่อไป Google เปิดเผยข้อมูลเกี่ยวกับจุดบกพร่องและวิธีการทำงาน ดังนั้นใครก็ตามที่กำลังมองหาข้อบกพร่องเพื่อโจมตีทางไซเบอร์สามารถใช้ประโยชน์จากมันได้
Ivan Fratric นักวิจัยของ Google พบช่องโหว่ใน Arbitrary Code Guard (ACG) ของ Microsoft ซึ่งจัดอยู่ในประเภท "ปานกลาง." ข้อบกพร่องนี้ส่งผลต่อคอมไพเลอร์ Just In Time (JIT) สำหรับ JavaScript และอนุญาตให้ผู้โจมตีโหลดไฟล์ที่เป็นอันตราย รหัส. ปัญหาอธิบายไว้ในบล็อก Chromium:[3]
หากกระบวนการเนื้อหาถูกบุกรุก และกระบวนการเนื้อหาสามารถคาดการณ์ได้ว่ากระบวนการ JIT ที่อยู่ใดจะเรียกใช้ VirtualAllocEx() ต่อไป (หมายเหตุ: คาดการณ์ได้ค่อนข้างดี) กระบวนการเนื้อหาสามารถ:
1. ยกเลิกการแมปหน่วยความจำที่ใช้ร่วมกันที่แมปด้านบนโดยใช้ UnmapViewOfFile()
2. จัดสรรพื้นที่หน่วยความจำที่เขียนได้บนเซิร์ฟเวอร์ JIT ที่อยู่เดียวกันซึ่งกำลังจะเขียนและเขียนเพย์โหลดที่เร็ว ๆ นี้ที่จะดำเนินการได้ที่นั่น
3. เมื่อกระบวนการ JIT เรียก VirtualAllocEx() แม้ว่าหน่วยความจำจะได้รับการจัดสรรแล้ว การโทรก็จะสำเร็จและการป้องกันหน่วยความจำจะถูกตั้งค่าเป็น PAGE_EXECUTE_READ
ไม่ใช่ครั้งแรกที่ Google เปิดเผยข้อบกพร่องในผลิตภัณฑ์ของ Microsoft ต่อสาธารณะ
ในปี 2559 นักวิจัยของ Google ค้นพบข้อบกพร่องใน Windows 10 สถานการณ์ก็คล้ายคลึงกัน Microsoft ได้รับแจ้งเกี่ยวกับช่องโหว่ที่อนุญาตให้ผู้โจมตีติดตั้งแบ็คดอร์บนคอมพิวเตอร์ Windows
อย่างไรก็ตาม Google ไม่ได้นิ่งเฉยเป็นเวลานาน พวกเขาใช้เวลาเพียง 10 วันในการเปิดเผยช่องโหว่ที่ "สำคัญ" ย้อนกลับไปก่อนหน้านั้น Google ได้ปรับใช้โปรแกรมแก้ไขสำหรับผู้ใช้ Google Chrome อย่างไรก็ตาม Windows OS เองยังคงมีช่องโหว่
หลังจากข่าวเกี่ยวกับช่องโหว่ที่สำคัญเกิดขึ้นเมื่อสองปีก่อน โฆษกของ Microsoft กล่าวว่า "การเปิดเผยโดย Google ทำให้ลูกค้าตกอยู่ในความเสี่ยง"[4]
ปีที่แล้ว Google รายงานว่า "เลวร้ายมาก"[5] ช่องโหว่ใน Windows 10 ที่อนุญาตให้มีการเรียกใช้โค้ดจากระยะไกล อย่างไรก็ตาม Microsoft จัดการเพื่อแก้ไขปัญหาด้วยการอัปเดต Patch Tuesday ล่าสุด แม้ว่าจะดูเหมือนว่าสามารถแก้ปัญหาด้านความปลอดภัยได้ทันท่วงที