Η ομάδα ανάλυσης απειλών της Google ανακάλυψε πρόσφατα μια σειρά επιβλαβών ευπαθειών στο Adobe Flash και τον πυρήνα των Microsoft Windows που χρησιμοποιούνται ενεργά για επιθέσεις κακόβουλου λογισμικού κατά του προγράμματος περιήγησης Chrome. Η Google ανακοίνωσε δημοσίως το ελάττωμα ασφαλείας στα Windows μόλις 10 ημέρες μετά τη γνωστοποίησή της στη Microsoft στις 21 Οκτωβρίου. Η Google επεσήμανε επίσης ότι αυτό το ελάττωμα θα μπορούσε να χρησιμοποιηθεί επιθετικά από τους επιτιθέμενους και τους κωδικοποιητές για να θέσει σε κίνδυνο την ασφάλεια στα συστήματα των Windows κερδίζοντας πρόσβαση σε επίπεδο διαχειριστή υπολογιστές που χρησιμοποιούν κακόβουλο λογισμικό.

Αυτό μπορεί να επιτευχθεί επιτρέποντας λιγότερο από ειλικρινείς προγραμματιστές να ξεφύγουν από το sandbox ασφαλείας των Windows που εκτελεί μόνο εφαρμογές σε επίπεδο χρήστη χωρίς να χρειάζεται πρόσβαση από το διαχειριστή. Κατάδυση λίγο βαθύτερα στις τεχνικές λεπτομέρειες, το win32k.sys, μια παλαιότερη βιβλιοθήκη συστημάτων υποστήριξης Windows που χρησιμοποιείται κυρίως για γραφικά, εκδίδεται μια συγκεκριμένη κλήση που παρέχει πλήρη πρόσβαση στο περιβάλλον των Windows. Το Google Chrome διαθέτει ήδη έναν αμυντικό μηχανισμό για αυτό το είδος ελάττωματος και αποκλείει αυτή την επίθεση στα Windows 10 χρησιμοποιώντας μια τροποποίηση στο sandbox του Chromium που ονομάζεται "κλείδωμα Win32k".

Η Google περιέγραψε τη συγκεκριμένη ευπάθεια των Windows ως εξής:

"Η ευπάθεια των Windows είναι μια κλιμάκωση του τοπικού προνόμου στον πυρήνα των Windows που μπορεί να χρησιμοποιηθεί ως διαφυγή ασφαλείας sandbox. Μπορεί να ενεργοποιηθεί μέσω του συστήματος κλήσης win32k.sys NtSetWindowLongPtr () για το ευρετήριο GWLP_ID σε μια λαβή παραθύρου με το GWL_STYLE να είναι WS_CHILD. Το sandbox του Chrome αποκλείει τις κλήσεις συστήματος win32k.sys χρησιμοποιώντας το μετριασμό απομόνωσης Win32k στα Windows 10, το οποίο εμποδίζει την εκμετάλλευση αυτής της ευπάθειας διαφυγής του sandbox."

Παρόλο που δεν είναι η πρώτη συνάντηση της Google με ένα ελάττωμα ασφαλείας των Windows, δημοσίευσαν μια δημόσια δήλωση σχετικά με ένα θέμα ευπάθειας και αργότερα έκαψαν στη Microsoft μου την έκδοση ενός δημόσιου σημειώματος πριν από το επίσημο όριο των επτά ημερών που παραχωρείται στους κατασκευαστές λογισμικού για να εκδώσουν μια επιδιόρθωση.

"Μετά από 7 ημέρες, σύμφωνα με τη δημοσιευμένη πολιτική μας για την ενεργό εκμετάλλευση κρίσιμων τρωτών σημείων, αποκαλύπτουμε σήμερα την ύπαρξη ενός παραμένοντος κρίσιμου τρωτού σημείου στα Windows, για το οποίο δεν έχει ακόμη εκδοθεί συμβουλευτική ή επίλυση", γράφει ο Neel Mehta και ο Billy Leonard για την ανάλυση απειλών της Google Ομάδα: "Αυτή η ευπάθεια είναι ιδιαίτερα σοβαρή, διότι γνωρίζουμε ότι χρησιμοποιείται ενεργά".

Μια ευπάθεια μηδενικής ημέρας είναι ένα ελάττωμα ασφαλείας που αποκαλύπτεται δημοσίως και είναι νέο για τους χρήστες. Και τώρα που έχει περάσει η επταήμερη χρονική περίοδος, δεν υπάρχει ακόμη καμία ενημέρωση κώδικα πρόσβασης σχετικά με αυτό το σφάλμα από τη Microsoft.

Το θέμα ευπάθειας του Flash (που αποκαλύφθηκε επίσης στις 21 Οκτωβρίου), το οποίο η Google μοιράστηκε με την Adobe, ήταν patched στις 26 Οκτωβρίου. Έτσι, οι χρήστες μπορούν απλώς να ενημερώσουν την τελευταία έκδοση του Flash. Αλλά και πάλι, η Microsoft έχει επισημάνει ενεργά ότι για ένα απλό web plugin όπως το Flash, η έκδοση ενός patch μέσα σε επτά ημέρες δεν είναι ένας προκλητικός στόχος, αλλά για ένα πολύπλοκο λειτουργικό σύστημα όπως τα Windows, είναι σχεδόν αδύνατο να κωδικοποιηθεί, ένα έμπλαστρο για ένα ελάττωμα ασφαλείας μέσα σε μια εβδομάδα.

Όχι μόνο η Microsoft αλλά και πολλοί άλλοι σημαντικοί φορείς λογισμικού έχουν αντιταχθεί ενεργά σε αυτήν την αμφισβητούμενη πολιτική της Google για αποκάλυψη ατελειών μέσα σε ένα όριο εβδομάδας, αλλά η Google υποστήριξε ότι είναι ασφαλέστερο για τη δημόσια ασφάλεια να συνειδητοποιήσει ένα συνεχιζόμενο σφάλμα που μπορεί να θέσει σε κίνδυνο την ασφάλεια των χρηστών.