Google paljastaa korjaamattoman 0 päivän haavoittuvuuden Windowsissa

Google paljastaa korjaamattoman 0 päivän haavoittuvuuden Windowsissa ei ole varsinaisesti uusi asia, se on tehnyt sitä viime vuodesta lähtien. Microsoft jopa arvosteltu heidän käyttäytymisensä vaarantaakseen miljoonat Windows-käyttäjät. Google tänään julkaistu uusi 0 päivän haavoittuvuus Windowsissa, jota ei ole vielä korjattu. Google ilmoitti siitä Microsoftille perjantaina 21. lokakuuta, ja 7 päivän käytäntönsä mukaisesti he ovat paljastaneet sen tänään. Mielestäni heidän politiikka aktiivisesti hyväksikäytetyille kriittisille haavoittuvuuksille ei ole hyvä sekä ohjelmistojen valmistajille että loppukäyttäjille. Vaikka he tietävät, että tämä haavoittuvuus on erityisen vakava ja sitä käytetään aktiivisesti, he haluavat julkistaa sen. En ymmärrä, kuinka ohjelmistoyritys voi korjata tietoturvavirheen ohjelmistossa, jossa on miljoonia koodirivejä ja joka toimii sadoissa miljoonissa eri kokoonpanoissa olevissa koneissa 7 päivässä.

Windowsin haavoittuvuus on paikallinen käyttöoikeuksien eskalaatio Windows-ytimessä, jota voidaan käyttää suojauksen hiekkalaatikossa. Se voidaan laukaista win32k.sys-järjestelmäkutsulla NtSetWindowLongPtr() indeksille GWLP_ID ikkunan kahvassa, kun GWL_STYLE-asetuksena on WS_CHILD. Chromen hiekkalaatikko estää win32k.sys-järjestelmäpuhelut käyttämällä Win32k lukitus lievennys Windows 10:ssä, joka estää tämän hiekkalaatikon pakohaavoittuvuuden hyödyntämisen.

Toivottavasti Microsoft julkaisee pian korjauksen tähän haavoittuvuuteen Windows Updaten kautta.