Групата за анализ на заплахи на Google наскоро разкри набор от вредни уязвимости в Adobe Flash и ядрото на Microsoft Windows, които активно се използват за атаки на злонамерен софтуер срещу браузъра Chrome. Google публично обяви недостатъка на сигурността в Windows само 10 дни след разкриването му на Microsoft на 21 октомври. Google също изтъкна, че този недостатък може да бъде използван агресивно от атакуващите и кодерите за компрометиране на сигурността в системите на Windows, като получи достъп на администраторско ниво до компютри, използващи зловреден софтуер.

Това може да се постигне, като се позволи на по-малко от честните разработчици да избягат от защитната среда на Windows, която изпълнява само приложения на ниво потребител, без да се нуждае от администраторски достъп. Потапяйки се малко по-дълбоко в техническите характеристики, win32k.sys, наследена поддръжка на системна библиотека на Windows, използвана главно за графика, се издава специфично обаждане, което предоставя пълен достъп до средата на Windows. Google Chrome вече има защитен механизъм за този вид недостатък и блокира тази атака срещу Windows 10, като използва модификация на Chromium Sandbox, наречена „блокиране на Win32k“.

Google описа тази конкретна уязвимост на Windows по следния начин:

„Уязвимостта на Windows е локална ескалация на привилегиите в ядрото на Windows, която може да се използва като бягство в пясъчната кутия на сигурността. Тя може да бъде задействана чрез системата win32k.sys извикване на NtSetWindowLongPtr () за индекса GWLP_ID на дръжка на прозореца с GWL_STYLE, зададена на WS_CHILD. Пясъчната кутия на Chrome блокира системните обаждания на win32k.sys, използвайки смекчаването на Win32k за блокиране в Windows 10, което предотвратява използването на тази уязвимост при избягване. “

Въпреки че това не е първата среща на Google с пропуск в защитата на Windows, те пуснаха публично изявление относно уязвимостта и по-късно бяха опорочени от моя Microsoft за пускане на публична бележка преди официалния седемдневен лимит, който се предоставя на производителите на софтуер за издаване на поправка.

„След 7 дни, в съответствие с публикуваната ни политика за активно експлоатирани критични уязвимости, днес разкриваме съществуването на оставаща критична уязвимост в Windows, за която все още не са пуснати препоръки или поправки“, пише Нийл Мехта и Били Леонард от Анализ на заплахите на Google Група. "Тази уязвимост е особено сериозна, защото знаем, че се използва активно."

Уязвимостта от нулев ден е публично разкрит недостатък на сигурността, нов за потребителите. И сега, когато измина седемдневният период от време, все още няма налична корекция на кръпките относно тази грешка от Microsoft.

Уязвимостта на Flash (оповестена също на 21 октомври), която Google сподели с Adobe, беше изкоренена на 26 октомври, така че потребителите могат просто да актуализират до най-новата версия на Flash. Но отново, Microsoft активно посочи, че за обикновен уеб плъгин като Flash, издаването на патч в рамките на седем дни не е предизвикателна цел, но за сложна ОС като Windows е почти невъзможно да се кодира, тества и издаде пластир за пропуск в сигурността в рамките на седмица.

Не само Microsoft, но и много други големи софтуерни организации активно се противопоставят на тази противоречива политика на Google за разкриване на недостатъци в рамките на седмица, но Google поддържа, че е по-безопасно за обществената сигурност да се създаде информираност за постоянен бъг, който може да компрометира безопасността на потребителите.