Odwrócenie sytuacji jest fair play, ponieważ Microsoft znajduje exploit w przeglądarce Chrome i krytykuje łatki Google
2 minuta. czytać
Opublikowany
Udostępnij ten artykuł
Ulepsz ten przewodnik
Przeczytaj naszą stronę z informacjami, aby dowiedzieć się, jak możesz pomóc MSPoweruser w utrzymaniu zespołu redakcyjnego Czytaj więcej
Zespół ds. bezpieczeństwa Projektu Zero firmy Google został utrzymując Microsoft zajęty znajdowaniem exploitów w Windows i Edge, a czasami ogłaszanie ich publicznie, zanim Microsoft udostępni łatki.
Firma ma również skrytykował Microsoft za łatanie Windowsa 10 przed Windows 7 i wcześniejsze systemy operacyjne, tym samym ujawniając hakerom, jakie luki w zabezpieczeniach są nadal obecne w starszych wersjach systemu operacyjnego.
W zeszłym miesiącu przyszła kolej na Google, ponieważ zespół Microsoft Offensive Security Research (OSR) znalazł błąd w przeglądarce Google Chrome, który umożliwiał zdalne wykonanie kodu. zanim poprawki zostaną wdrożone.
Jeśli chodzi o błąd, który został wykryty przy użyciu fuzzera (ulubione narzędzie Google), OSR informuje:
- Nasze odkrycie CVE-2017-5121 wskazuje, że w nowoczesnych przeglądarkach można znaleźć luki w zabezpieczeniach, które można wykorzystać zdalnie
- Względny brak środków łagodzących RCE w Chrome oznacza, że droga od błędu uszkodzenia pamięci do wykorzystania może być krótka
- Kilka testów bezpieczeństwa przeprowadzanych w piaskownicy powoduje, że exploity RCE są w stanie, między innymi, ominąć Politykę Samego Pochodzenia (SOP), dając atakującym obsługującym RCE dostęp do usług online ofiar (takich jak poczta e-mail, dokumenty i sesje bankowe). i zapisane poświadczenia
- Proces obsługi luk w zabezpieczeniach Chrome może spowodować publiczne ujawnienie szczegółów luk w zabezpieczeniach, zanim poprawki zostaną przekazane klientom
Google przyznało się do błędu i zapłaciło firmie Microsoft nagrodę w wysokości 15,000 8 USD (którą Microsoft przekazał na cele charytatywne), ale ich podejście do łatania błędu również wywołało alarm w Microsoft. Google wysłał poprawkę do repozytorium V3 GitHub na trzy dni przed wydaniem poprawki do przeglądarki i projektu Chromium, dając szybkim hakerom XNUMX dni na inżynierię wsteczną i wykorzystanie setek milionów użytkowników Chrome.
Biorąc pod uwagę zaciekłą relację między zespołami bezpieczeństwa Google i Microsoftu, spodziewam się, że nie będzie to pierwsza taka wymiana w ciągu najbliższych kilku miesięcy, ale miejmy nadzieję, że jej wynikiem będą bezpieczniejsze przeglądarki i systemy operacyjne dla nas wszystkich.
Źródło: TechnetPrzez BleepingComputer
