Google acusa a Microsoft de revelar exploits de Windows 7 con parches de Windows 10

Parece que algunos días simplemente no puedes ganar. Microsoft ha sido diligente en la actualización de Windows 10 con correcciones de errores y mejoras, y ahora el equipo de seguridad de Project Zero de Google se ha quejado de que esto deja a Windows 7 y Windows 8 vulnerables a las vulnerabilidades reveladas por el proceso.

El problema se debe a que Windows 7 y Windows 10 comparten la misma base de código, pero las correcciones de errores se implementan primero y rápidamente en Windows 10, y solo más tarde en Windows 7 y 8, lo que permite a los piratas informáticos comparar el código y detectar cambios, lo que puede revelar los detalles del error corregido y la vulnerabilidad en la versión anterior no corregida del sistema operativo.

“Microsoft es conocido por introducir una serie de mejoras de seguridad estructural y, a veces, incluso correcciones de errores comunes. solo a la plataforma Windows más reciente”, dijo Mateusz Jurczyk, investigador de Google Project Zero. “Esto crea una falsa sensación de seguridad para los usuarios de los sistemas más antiguos y los deja vulnerables a fallas de software que pueden detectarse simplemente detectando cambios sutiles en el código correspondiente en diferentes versiones de Windows”.

Jurczyk afirma haber encontrado varios exploits de día cero utilizando esta técnica, como una divulgación de memoria del kernel no inicializada, que se puede usar para eludir el ASLR del kernel.

“Esto es especialmente cierto para las clases de errores con correcciones obvias, como la divulgación de la memoria del kernel y las llamadas de conjunto de memoria agregadas”, señaló.

"Esperamos que estos hayan sido algunos de los pocos casos en los que tales 'frutas al alcance de la mano' sean accesibles para los investigadores a través de la diferenciación", concluye. “Y alentamos a los proveedores de software a que se aseguren de ello mediante la aplicación de mejoras de seguridad consistentes en todas las versiones compatibles de su software”.

En una declaración Microsoft dejó en claro que preferiría que todos los usuarios de Windows simplemente tuvieran la misma versión del sistema operativo, diciendo:

“Windows tiene el compromiso del cliente de investigar los problemas de seguridad informados y actualizar proactivamente los dispositivos afectados lo antes posible. Además, invertimos continuamente en seguridad de defensa en profundidad y recomendamos a los clientes que utilicen Windows 10 y el navegador Microsoft Edge para obtener la mejor protección”.

Fuente: Proyecto cero de Google, vía Winbuzzer.com