Google wykryło lukę w „bezpiecznym Windowsie”, Microsoft chciał ją przemilczeć
Zespół osób z Google Project Zero, grupy zajmującej się na co dzień szukaniem błędów w oprogramowaniu (również konkurencyjnym), odkrył lukę w Windowsie 10 S, teoretycznie najbezpieczniejszym systemie Microsoftu. Pozwala ona uruchomić szkodliwy kod, mimo iż system teoretycznie ograniczony jest wyłącznie do uruchamiania zaufanych aplikacji ze Sklepu.
Luka w systemie z pewnością nie może być powodem do dumy Microsoftu, ale tym razem sytuacja jest inna od dotychczasowych. Problem dotyczy bowiem Windowsa z dopiskiem S – wersji, która powstała tylko i wyłącznie po to, aby zapewniać maksymalne bezpieczeństwo. Nie można tu więc uruchamiać aplikacji innych, niż spoza Microsoft Store, tym bardziej więc informacja o potencjalnym zagrożeniu jest kiepska dla wizerunku firmy.
Problem dotyczy możliwości wykonania dowolnego kodu w systemie, w którym włączono UMCI, a taką ochroną w Windowsie 10 S jest domyślnie włączony Device Guard. Od razu warto dodać, że lukę uznano jedynie za średnie zagrożenie. Aby ją wykorzystać, komputer ofiary musiałby nie mieć zainstalowanych łatek na poprzednie luki (by uruchomić kod zdalnie na przykład za pomocą luki w Edge'u) lub atakujący musiałby mieć możliwość uruchomienia na komputerze własnego oprogramowania, aby móc modyfikować rejestr.
Nie mniej ciekawa od samej luki jest w tym przypadku reakcja Microsoftu o jej odkryciu. Okazuje się, że Google poinformowało producenta Windowsa 10 S o zagrożeniu jeszcze w styczniu i zgodnie ze swoimi założeniami rozpoczęło odliczanie 90-dniowego okresu na jej załatanie. Normalnie po tym czasie Project Zero upublicznia informacje o lukach, niezależnie od tego, czy producent zdążył zareagować.
W tym przypadku Microsoft zareagować zdążył, ale nie tak jak wszyscy by tego oczekiwali. Google zostało poinformowane, że łatka nie zdąży powstać odpowiednio szybko, by trafić do paczki poprawek dla Windowsa w kwietniu i zostanie udostępniona w maju. Project Zero poproszono natomiast o wydłużenie 90-dniowego okresu o kolejne dwa tygodnie. Prośbę odrzucono i dlatego o luce dowiadujemy się już teraz, jeszcze przed jej załataniem – termin minął wczoraj.