Googles gruppe for trusselanalyse har for nylig afsløret et sæt skadelige sårbarheder i Adobe Flash og Microsoft Windows-kernen, der blev brugt aktivt til malware-angreb mod Chrome-browseren. Google har offentligt annonceret sikkerhedsfejlen i Windows blot 10 dage efter at have afsløret den for Microsoft den 21. oktober. Google påpegede også, at denne fejl aggressivt kunne bruges af angribere og kodere til at kompromittere sikkerheden i Windows-systemer ved at få administrator-adgang til computere, der bruger en malware.

Dette kan opnås ved at give mindre end ærlige udviklere mulighed for at flygte fra Windows 'sikkerhedssandkasse, der kun kører apps på brugerniveau uden brug af administratoradgang. Dykning lidt dybere i det tekniske, win32k.sys, et ældre Windows-systembibliotek, der hovedsageligt bruges til grafik, får et specifikt opkald, der giver fuld adgang til Windows-miljøet. Google Chrome har allerede en forsvarsmekanisme på plads for denne form for fejl og blokerer dette angreb på Windows 10 ved hjælp af en ændring af Chromium-sandkassen kaldet “Win32k lockdown”.

Google beskrev denne særlige Windows-sårbarhed som følger:

”Windows-sårbarheden er en lokal eskalering af lokale privilegier i Windows-kernen, der kan bruges som en sikkerhedsledning fra sandkassen. Det kan udløses via win32k.sys systemopkald NtSetWindowLongPtr () for indekset GWLP_ID på et vindueshåndtag med GWL_STYLE indstillet til WS_CHILD. Chromes sandkasse blokerer win32k.sys systemopkald ved hjælp af Win32k lockdown-begrænsning på Windows 10, som forhindrer udnyttelse af denne sandsynlighed for flugt med sandkasse. ”

Selvom dette ikke er Googles første møde med en Windows-sikkerhedsfejl, frigav de en offentlig erklæring om en sårbarhed og blev senere baseret min Microsoft for at have frigivet en offentlig note inden den officielle syv-dages grænse, der gives til softwareproducenter til at udstede en rettelse.

"Efter 7 dage pr. Vores offentliggjorte politik for aktivt udnyttet kritiske sårbarheder afslører vi i dag eksistensen af ​​en resterende kritisk sårbarhed i Windows, som der endnu ikke er frigivet nogen rådgivende eller fix, " skrev Neel Mehta og Billy Leonard fra Googles trusselanalyse Gruppe. ”Denne sårbarhed er særlig alvorlig, fordi vi ved, at den udnyttes aktivt.”

En sårbarhed på nul dage er en offentligt afsluttet sikkerhedsfejl, der er ny for brugerne. Og nu, hvor tidsperioden på syv dage er gået, er der stadig ingen patch-fix tilgængelig vedrørende denne fejl fra Microsoft.

Flash-sårbarheden (også afsløret den 21. oktober), som Google delte med Adobe, blev opdateret den 26. oktober. Så brugere kan simpelthen opdatere til den nyeste version af Flash. Men igen har Microsoft aktivt påpeget, at det for et simpelt webplugin som Flash at udstede en patch inden for syv dage ikke er et udfordrende mål, men for et komplekst operativsystem som Windows er det næsten umuligt at kode, teste og udstede en patch til en sikkerhedsfejl inden for en uge.

Ikke kun Microsoft, men mange andre store softwareenheder har aktivt modsat sig denne kontroversielle politik fra Google om at afsløre mangler inden for en uges grænse, men Google har fastholdt, at det er mere sikkert for den offentlige sikkerhed at skabe opmærksomhed om en vedvarende fejl, der kan kompromittere brugernes sikkerhed.