r   e   k   l   a   m   a
r   e   k   l   a   m   a

90 dni nie wystarczyło na przygotowanie łatki. Google ujawnia poważną lukę w Windows 8.1

Strona główna AktualnościOPROGRAMOWANIE

To nie pierwszy raz, kiedy Google stawia Microsoft w kłopotliwej sytuacji pod względem bezpieczeństwa oprogramowania. Pamiętamy Tavisa Ormandy'ego, który nie dawał szans firmie z Redmond na naprawienie odkrytych przez niego błędów, upubliczniając gotowe exploity zaraz po ich przygotowaniu. Tym razem Microsoft miał swój czas, ale z niego nie skorzystał. Kolejny 0-day dla Windows trafił więc do wiadomości publicznej.

Odkrywcą tej luki nie jest Tavis Ormandy, lecz inny członek google'owego Projektu Zero, forshaw. Pozwala ona napastnikowi na uzyskanie uprawnień administratora w Windows 8.1, za sprawą wykorzystania błędu w systemowej funkcji NtApphelpCacheControl, pozwalającej przechować dane o kompatybilności aplikacji na potrzeby szybkiego uruchamiania nowych procesów w pamięci podręcznej. Niepoprawne sprawdzenie uprawnień korzystającego z funkcji użytkownika pozwala na wykorzystanie tokenu identyfikacji z któregoś z procesów systemowych i uruchomienie własnego procesu z uprawnieniami administratora.

Informacją o odkrytej luce, a także działającym exploitem, forshaw podzielił się 30 września na wewnętrznej liście dyskusyjnej Projektu Zero. Powiadomienie trafiło także do zespołu bezpieczeństwa Microsoftu. Od tego czasu, zgodnie ze znanymi wszystkim założeniami google'owej inicjatywy, producent oprogramowania ma 90 dni na rozwiązanie problemu – później informacja o luce zostaje automatycznie upubliczniona.

r   e   k   l   a   m   a

Odpowiednia łatka nie pojawiła się jednak ani w październiku, ani w listopadzie, ani też w grudniu. 29 grudnia raport o błędzie został automatycznie upubliczniony, w związku z przekroczeniem ostatecznego terminu. Pierwsza reakcja? Ładnie – napisał na łamach listy google-security-research jeden z programistów Google'a.

Nie wszyscy wykazali się jednak takim entuzjazmem. Pojawiły się głosy, że ujawnianie takich błędów w okresie świątecznym, kiedy to wielu pracowników Microsoftu i Google ma wolne, nie jest najlepszym pomysłem. Może i 90 dni to sporo na naprawienie błędu, ale też przygotowanie łatki do ważnego systemowego sterownika i jej kompleksowe przetestowanie nie jest wcale łatwe – o czym można się przekonać na przykładzie ostatnich problemów z biuletynami bezpieczeństwa.

Z drugiej strony inni zauważali, że trzymanie takiej informacji w tajemnicy sprzyja tylko tym, którzy potajemnie wykorzystują odkrytą lukę w niegodziwych celach. Nawet jeśli nie ma jeszcze łatki, są inne sposoby na to, by zabezpieczyć się przed tego typu atakiem, dlatego lepiej powiadomić administratorów o zagrożeniu zawczasu – i liczyć że upublicznienie informacji skłoni Microsoft do przyspieszenia prac.

Najbliższy kolejny termin wydania poprawek do oprogramowania Microsoftu przypada na wtorek 13 stycznia. I faktycznie, prawdopodobnie wtedy pojawi się poprawka do odkrytego przez forshawa błędu. Firma potwierdziła zagrożenie, informując, że trwają prace nad łatką. Póki co użytkownicy Windows powinni dbać o ochronę antywirusową, włączyć zapory sieciowe i upewnić się, że nie są atakowani za pomocą innych exploitów. Wspomniana luka na szczęście nie pozwala na zdalny atak, wymaga lokalnego zalogowania się do maszyny (np. za pomocą BadUSB).

Tak czy inaczej – dyskusja na temat odpowiedzialnego ujawniania luk w oprogramowaniu i tym razem nie przyniesie żadnych wiążących rozstrzygnięć. Nie sposób się jednak oprzeć wrażeniu, że jest trochę osobistej satysfakcji dla ludzi Google'a w ujawnianiu luk w Windows. W końcu opracowywany w Mountain View konkurent „okienek”, Chrome OS, reklamowany jest jako najbezpieczniejszy system operacyjny świata – i jak do tej pory za wiele przesady w tej reklamie nie ma.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.