Google onthult niet-gepatchte 0-day-kwetsbaarheid in Windows

Google die een niet-gepatchte 0-day-kwetsbaarheid in Windows onthult, is niet echt iets nieuws, ze doen het sinds vorig jaar. Microsoft zelfs kritiek hun gedrag om miljoenen Windows-gebruikers in gevaar te brengen. Google vandaag gepubliceerde een nieuwe kwetsbaarheid van 0 dagen in Windows die nog steeds niet is gepatcht. Google meldde het op vrijdag 21 oktober aan Microsoft en volgens hun 7-dagenbeleid hebben ze het vandaag bekendgemaakt. ik denk dat hun beleid voor actief misbruikte kritieke kwetsbaarheden is niet goed voor zowel de softwaremakers als de eindgebruikers. Zelfs nadat ze weten dat deze kwetsbaarheid bijzonder ernstig is en actief wordt uitgebuit, willen ze deze bekendmaken. Ik begrijp niet hoe een softwarebedrijf een beveiligingsfout kan oplossen in software die miljoenen regels code heeft en binnen zeven dagen op honderden miljoenen machines met verschillende configuraties draait.

De Windows-kwetsbaarheid is een lokale escalatie van bevoegdheden in de Windows-kernel die kan worden gebruikt als een sandbox-escape voor de beveiliging. Het kan worden geactiveerd via de win32k.sys-systeemaanroep NtSetWindowLongPtr() voor de index GWLP_ID op een vensterhandle met GWL_STYLE ingesteld op WS_CHILD. De sandbox van Chrome blokkeert systeemaanroepen van win32k.sys met de Win32k-vergrendeling mitigatie op Windows 10, waardoor misbruik van deze sandbox-escape-kwetsbaarheid wordt voorkomen.

Hopelijk brengt Microsoft binnenkort een fix voor dit beveiligingslek uit via Windows Update.