Google accusa Microsoft di aver rivelato gli exploit di Windows 7 con le patch di Windows 10

Sembra che alcuni giorni tu non possa vincere. Microsoft è stata diligente nell'aggiornamento di Windows 10 con correzioni di bug e miglioramenti, e ora il team di sicurezza di Project Zero di Google si è lamentato che ciò lascia Windows 7 e Windows 8 vulnerabili agli exploit rivelati dal processo.

Il problema è dovuto al fatto che Windows 7 e Windows 10 condividono la stessa base di codice, ma le correzioni di bug sono state implementate prima in Windows 10 e rapidamente e solo successivamente in Windows 7 e 8, consentendo agli hacker di confrontare il codice e rilevare le modifiche, che possono rivelare le specifiche del bug corretto e la vulnerabilità nella versione precedente del sistema operativo non corretta.

“Microsoft è nota per aver introdotto una serie di miglioramenti della sicurezza strutturale e talvolta anche normali correzioni di bug solo alla piattaforma Windows più recente”, ha affermato Mateusz Jurczyk, ricercatore di Google Project Zero. "Questo crea un falso senso di sicurezza per gli utenti dei sistemi precedenti e li lascia vulnerabili a difetti del software che possono essere rilevati semplicemente individuando sottili modifiche nel codice corrispondente in diverse versioni di Windows".

Jurczyk afferma di aver trovato diversi exploit zero-day utilizzando questa tecnica, come una divulgazione della memoria del kernel non inizializzata, che può essere utilizzata per bypassare l'ASLR del kernel.

"Questo è particolarmente vero per le classi di bug con correzioni evidenti, come la divulgazione della memoria del kernel e le chiamate di memset aggiunte", ha osservato.

"Ci auguriamo che questi siano alcuni dei pochissimi casi in cui tali 'frutti a bassa caduta' sono stati accessibili ai ricercatori attraverso il diffing", conclude. "E incoraggiamo i fornitori di software ad assicurarsene applicando miglioramenti della sicurezza in modo coerente a tutte le versioni supportate del loro software".

In una dichiarazione Microsoft ha chiarito che preferirebbero che tutti gli utenti Windows fossero semplicemente sulla stessa versione del sistema operativo, dicendo:

“Windows ha l'impegno del cliente di indagare sui problemi di sicurezza segnalati e di aggiornare in modo proattivo i dispositivi interessati il ​​prima possibile. Inoltre, investiamo continuamente in una sicurezza di difesa approfondita e consigliamo ai clienti di utilizzare Windows 10 e il browser Microsoft Edge per la migliore protezione".

Fonte: Google Progetto Zero, via Winbuzzer.com