A Google azzal vádolja a Microsoftot, hogy Windows 7 javításokkal felfedte a Windows 10 kihasználását

Úgy tűnik, néhány nap egyszerűen nem tudsz nyerni. A Microsoft szorgalmasan frissítette a Windows 10-et hibajavításokkal és fejlesztésekkel, és most a Google Project Zero biztonsági csapata panaszkodott, ami miatt a Windows 7 és a Windows 8 sebezhetővé válik a folyamat során feltárt visszaélésekkel szemben.

A probléma abból adódik, hogy a Windows 7 és a Windows 10 ugyanazt a kódbázist osztja meg, de a hibajavításokat először a Windows 10-ben és gyorsan, majd csak később a Windows 7-ben és 8-ban vezetik be, lehetővé téve a hackerek számára a kód összehasonlítását és a változások észlelését. feltárják a javított hiba sajátosságait és a sebezhetőséget az operációs rendszer javítatlan, régebbi verziójában.

„A Microsoft arról ismert, hogy számos strukturális biztonsági fejlesztést vezetett be, és néha még közönséges hibajavításokat is bevezetett csak a legújabb Windows platformra” – mondta Mateusz Jurczyk, a Google Project Zero kutatója. "Ez hamis biztonságérzetet kelt a régebbi rendszerek felhasználóiban, és sebezhetővé teszi őket a szoftverhibákkal szemben, amelyek pusztán a Windows különböző verzióiban a megfelelő kódban történt finom változások észlelésével észlelhetők."

Jurczyk azt állítja, hogy számos nulladik napi kizsákmányolást talált ezzel a technikával, például egy inicializálatlan kernelmemória-felfedést, amely felhasználható a kernel ASLR megkerülésére.

„Ez különösen igaz az olyan nyilvánvaló javításokat tartalmazó hibaosztályokra, mint például a kernelmemória feltárása és a hozzáadott memset hívások” – jegyezte meg.

„Reméljük, hogy ezek azon nagyon kevés esetek közé tartoztak, amikor az ilyen „alacsonyan csüngő gyümölcsök” differenciálás révén hozzáférhetők voltak a kutatók számára” – összegzi. "És arra biztatjuk a szoftvergyártókat, hogy gondoskodjanak erről azáltal, hogy következetesen alkalmazzák a biztonsági fejlesztéseket szoftvereik összes támogatott verziójában."

A nyilatkozatot A Microsoft egyértelművé tette, hogy azt szeretné, ha minden Windows-felhasználó egyszerűen ugyanazt az operációs rendszer verzióját használja, mondván:

„A Windows ügyfelei elkötelezettek a bejelentett biztonsági problémák kivizsgálása mellett, és a lehető leghamarabb proaktívan frissítik az érintett eszközöket. Ezenkívül folyamatosan befektetünk a mélyreható védelmi biztonságba, és azt javasoljuk, hogy ügyfeleink a legjobb védelem érdekében a Windows 10 és a Microsoft Edge böngészőt használják.”

Forrás: Google Project Zero, keresztül Winbuzzer.com