גוגל מאשימה את מיקרוסופט בחשיפת ניצול של Windows 7 עם תיקוני Windows 10

נראה שיש ימים שאתה פשוט לא יכול לנצח. מיקרוסופט הקפידה לעדכן את Windows 10 עם תיקוני באגים ושיפורים, וכעת צוות האבטחה Project Zero של גוגל התלונן על כך שהדבר מותיר את Windows 7 ו-Windows 8 חשופים לניצול שנחשף בתהליך.

הבעיה נובעת מכך ש-Windows 7 ו-Windows 10 חולקות את אותו בסיס קוד, אבל תיקוני באגים מתגלגלים ל-Windows 10 תחילה ומהר, ורק מאוחר יותר ל-Windows 7 ו-8, מה שמאפשר להאקרים להשוות את הקוד ולזהות שינויים, שיכולים לחשוף את הפרטים של הבאג שתוקן ואת הפגיעות בגרסה הלא מתוקנת, הישנה יותר של מערכת ההפעלה.

"מיקרוסופט ידועה בהציגה מספר שיפורי אבטחה מבניים ולפעמים אפילו תיקוני באגים רגילים רק לפלטפורמת Windows העדכנית ביותר," אמר חוקר Google Project Zero Mateusz Jurczyk. "זה יוצר תחושת ביטחון מזויפת למשתמשים במערכות הישנות יותר, ומשאיר אותם פגיעים לפגמי תוכנה שניתן לזהות רק על ידי איתור שינויים עדינים בקוד המתאים בגרסאות שונות של Windows."

Jurczyk טוען שמצא כמה ניצול של יום אפס באמצעות טכניקה זו, כגון גילוי זיכרון ליבה לא מאותחל, שניתן להשתמש בו כדי לעקוף ASLR של ליבה.

"זה נכון במיוחד עבור מחלקות באגים עם תיקונים ברורים, כגון חשיפת זיכרון ליבה וקריאות memset שנוספו", הוא ציין.

"אנו מקווים שאלו היו חלק מהמקרים הבודדים שבהם 'פרי תלוי כזה' נגיש לחוקרים באמצעות חלוקה", הוא מסכם. "ואנחנו מעודדים את ספקי התוכנה לוודא זאת על ידי יישום שיפורי אבטחה באופן עקבי בכל הגרסאות הנתמכות של התוכנה שלהם."

בהצהרה ש מיקרוסופט הבהירה שהם מעדיפים שכל משתמשי Windows פשוט יהיו על אותה גרסה של מערכת ההפעלה, ואמרו:

"ל-Windows יש מחויבות של לקוחות לחקור בעיות אבטחה שדווחו, ולעדכן באופן יזום מכשירים שנפגעו בהקדם האפשרי. בנוסף, אנו משקיעים ללא הרף באבטחה מעמיקה, וממליצים ללקוחות להשתמש ב-Windows 10 ובדפדפן Microsoft Edge להגנה הטובה ביותר".

מקור: Google Project Zero, באמצעות Winbuzzer.com