קבוצת ניתוח האיומים של גוגל חשפה לאחרונה קבוצה של פגיעויות מזיקות באדובי פלאש ובגרעין מיקרוסופט ווינדוס אשר שימש באופן פעיל להתקפות זדוניות נגד דפדפן Chrome. גוגל הודיעה בפומבי על פגם האבטחה במערכת Windows רק 10 יום לאחר שחשפה אותו למיקרוסופט ב- 21 באוקטובר. גוגל גם הצביעה כי תוקפים וקודנים יכולים להשתמש באגרסיביות בכדי לסכן את האבטחה במערכות Windows על ידי קבלת גישה ברמת מנהל מערכת מחשבים המשתמשים בתוכנה זדונית.

ניתן להשיג זאת על ידי מתן אפשרות למפתחים פחות מכנים לברוח מארגז החול של האבטחה של Windows שמפעילה רק אפליקציות ברמת המשתמש מבלי להזדקק לגישה של מנהל מערכת. תוך צלילה מעט יותר מעמיקה בטכנולוגיות, win32k.sys, ספריית מערכת תומכת מדור קודם של Windows המשמשת בעיקר לגרפיקה, מקבלת קריאה ספציפית המעניקה גישה מלאה לסביבת Windows. ל- Google Chrome כבר קיים מנגנון הגנה לפגם מסוג זה וחוסם את ההתקפה הזו על Windows 10 באמצעות שינוי לארגז החול של Chromium שנקרא "Win32k lockdown".

גוגל תיארה את הפגיעות הספציפית הזו של Windows באופן הבא:

"הפגיעות של Windows היא הסלמה של הרשאות מקומיות בגרעין Windows שיכולה לשמש כמפלטת ארגז חול. ניתן להפעיל אותו באמצעות מערכת win32k.sys קריאה NtSetWindowLongPtr () לאינדקס GWLP_ID על ידית חלון עם GWL_STYLE מוגדר כ- WS_CHILD. ארגז החול של כרום חוסם שיחות מערכת של win32k.sys באמצעות הפחתת הנעילה של Win32k במערכת Windows 10, שמונעת ניצול פגיעות זו של בריחת ארגזי חול."

למרות שזה לא המפגש הראשון של גוגל עם ליקוי אבטחה של חלונות, הם פרסמו הצהרה פומבית בדבר פגיעות ומאוחר יותר התבססו על מיקרוסופט שלי על שחרור הערה ציבורית לפני המגבלה הרשמית של שבעת הימים המוענקת ליצרני התוכנה להנפקה.

"לאחר 7 ימים, בהתאם למדיניות שפורסמה בנושא פגיעויות קריטיות מנוצלות באופן פעיל, אנו חושפים היום את קיומה של פגיעות קריטית שנותרה ב- Windows שלא פורסמו עד כה שום ייעוץ או תיקון", כתבו ניל מהטה ובילי לאונרד מניתוח האיומים של גוגל. קבוצה. "פגיעות זו חמורה במיוחד מכיוון שאנו יודעים שהיא מנוצלת באופן פעיל."

פגיעות בת יום אפס היא ליקוי אבטחה שנחשף בפומבי חדש למשתמשים. ועכשיו, לאחר שחלפה תקופת הזמן של שבעת הימים, עדיין אין תיקון זמין לגבי באג זה ממיקרוסופט.

הפגיעות של הפלאש (שנחשפה גם ב- 21 באוקטובר) שגוגל שיתפה עם אדובי טופלה ב- 26 באוקטובר. כך שהמשתמשים יכולים פשוט לעדכן לגירסה האחרונה של Flash. אך שוב, מיקרוסופט הצביעה באופן פעיל כי עבור תוסף אינטרנט פשוט כמו פלאש, הוצאת תיקון תוך שבעה ימים אינה מטרה מאתגרת, אך עבור מערכת הפעלה מורכבת כמו חלונות, כמעט בלתי אפשרי לתקן, לבדוק ולנפיק. תיקון לפגם ביטחוני תוך שבוע.

לא רק מיקרוסופט, אלא ישויות תוכנה מרכזיות רבות אחרות התנגדו באופן פעיל למדיניות שנויה במחלוקת זו של גוגל לחשוף פגמים בגבול של שבוע, אלא שגוגל טענה כי בטוח יותר לביטחון הציבור ליצור מודעות לגבי באג מתמשך שעלול לפגוע בבטיחות המשתמשים.