Friendoffriends
Googles trusselsanalysegruppe har for nylig afdækket et sæt skadelige sårbarheder i Adobe Flash og Microsoft Windows-kernen, der blev brugt aktivt til malwareangreb mod Chrome-browseren. Google har offentligt meddelt sikkerhedsfejlen i Windows kun 10 dage efter offentliggørelsen af den for Microsoft den 21. oktober. Google påpegede også, at denne fejl kunne bruges aggressivt af angribere og kodere til at kompromittere sikkerheden i Windows-systemer ved at få adgang på administratorniveau til computere, der bruger en malware.
Dette kan opnås ved at lade mindre end ærlige udviklere flygte fra Windows 'sikkerhedssandkasse, der kun udfører apps på brugerniveau uden behov for administratoradgang. Dykker lidt dybere ned i det tekniske, win32k.sys, et ældre Windows-systembibliotek, der hovedsagelig bruges til grafik, udsendes et specifikt opkald, der giver fuld adgang til Windows-miljøet. Google Chrome har allerede en forsvarsmekanisme på plads for denne form for fejl og blokerer dette angreb på Windows 10 ved hjælp af en ændring af Chromium-sandkassen kaldet "Win32k lockdown".
Google beskrev denne særlige Windows-sårbarhed som følger:
“Windows-sårbarheden er en eskalering af lokale rettigheder i Windows-kernen, der kan bruges som en sikkerheds-sandkasse-flugt. Det kan udløses via win32k.sys-systemkaldet NtSetWindowLongPtr () til indekset GWLP_ID på et vinduesgreb med GWL_STYLE indstillet til WS_CHILD. Chromes sandkasse blokerer win32k.sys-systemopkald ved hjælp af Win32k-låsedæmpning på Windows 10, hvilket forhindrer udnyttelse af denne sårbarhed i sandkasseudslip. ”
Selvom dette ikke er Googles første møde med en Windows-sikkerhedsfejl, udgav de en offentlig erklæring om en sårbarhed og blev senere baseret min Microsoft for at frigive en offentlig note før den officielle syv-dages grænse, der er givet til softwareproducenter til at udstede en løsning.
"I henhold til vores offentliggjorte politik for aktivt udnyttet kritiske sårbarheder afslører vi i dag eksistensen af en tilbageværende kritisk sårbarhed i Windows, hvor der endnu ikke er frigivet nogen rådgivning eller løsning," skrev Neel Mehta og Billy Leonard fra Googles trusselsanalyse. Group. ”Denne sårbarhed er særlig alvorlig, fordi vi ved, at den udnyttes aktivt.”
En nul-dags sårbarhed er en offentliggjort sikkerhedsfejl, der er ny for brugerne. Og nu hvor den syv-dages periode er gået, er der stadig ingen patch fix tilgængelig vedrørende denne fejl fra Microsoft.
Flash-sårbarheden (også offentliggjort den 21. oktober), som Google delte med Adobe, blev opdateret 26. oktober. Så brugere kan simpelthen opdatere til den nyeste version af Flash. Men så har Microsoft igen aktivt påpeget, at for et simpelt web-plugin som Flash er det ikke et udfordrende mål at udstede en patch inden for syv dage, men for et komplekst operativsystem som Windows er det næsten umuligt at kode, teste og udstede en patch til en sikkerhedsfejl inden for en uge.
Ikke kun Microsoft, men mange andre større softwareenheder har aktivt modsat sig denne kontroversielle politik fra Google om at afsløre mangler inden for en uges grænse, men Google har fastholdt, at det er sikrere for den offentlige sikkerhed at skabe opmærksomhed om en vedvarende fejl, der kan kompromittere brugersikkerheden.
- sikkerhed
