  |
Za poslednú hodinu: 71 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Sobota, 6. septembra 2025, dnes má meniny Alica |
|
Microsoft si zgustol na Google, rozpitval zraniteľnosť v Chrome a upozornil na fatálne zlyhanie
bezpečnosť
Okrem iného v poslednom čase viackrát informácie o zraniteľnostiach zverejnil skôr ako ich Microsoft opravil s poukázaním na to, že Microsoftu opravenie trvalo príliš dlho a prekročil lehotu danú mu expertami. Teraz ale dostal príležitosť opačne Microsoft poukázať na bezpečnostné nedostatky Chrome a Google a naplno ju využil. Po objavení jednej vážnej zraniteľnosti v prehliadači Chrome zverejnil jeho podobný tím Microsoft Offensive Security Research siahodlý text jednak analyzujúci zraniteľnosť a cestu k jej zneužitiu tak poukazujúci na nedostatky Chrome a Google. Microsoft konkrétne identifikoval chybu použitia neinicializovanej premennej v kóde generovanom Javascript enginom V8, ktorá viedla až ku spustenie útočníkom zvoleného kódu len po návšteve stránky kontrolovanej útočníkom. Pri popise snahy využiť chybu na dosiahnutie spustenia kódu Microsoft vysvetľuje o čo je lepší jeho Edge, v ktorom by podobne priamočiaro nebolo možné dosiahnuť spustenie zvoleného kódu vďaka využívaniu bezpečnostných technológií Control Flow Guard a Arbitrary Code Guard ponúkaných vo Windows. Prehliadač Chrome využíva intenzívne izolovanie procesov, pri ktorom je proces renderujúci webovú stránku s minimálnymi potrebnými právami pre jeho funkčnosť a kód v ňom bežiaci nevie infikovať počítač. K spusteniu kódu v Chrome po zneužití Microsoftom objavenej chyby prišlo v takomto procese. Pre infekciu PC by bolo potrebné skombinovanie s ďalšou zraniteľnosťou, ktorú sa spoločnosti nepodarilo nájsť. Microsoft ale upozornil na vážne riziká aj takéhoto prieniku. Hoci štandardne v jednom procese spúšťa Chrome zrejme len stránky z jednej domény, tento proces nemá limitovaný prístup k dátam pre ostatné weby. Útočník sa tak môže dostať aspoň k dátam z iných stránok, ktoré užívateľ navštevuje. V treťom kroku Microsoft poukázal ale aj na pomerne fatálne organizačné zlyhanie. Google totiž priamo prezrádza zraniteľnosti v Chrome pred ich opravením tým, že sa objavia vo verejne prístupných repozitároch zdrojových kódov základu Chrome. V prípade tejto zraniteľnosti záplata neumožnila síce zistiť chybu, Microsoft poukázal ale na ďalšiu ktorá to umožnila. V zdrojových kódoch bola prezradená takmer mesiac pred vydaním opravenej verzie Chrome. Táto posledná výhrada je evidentne priamou reakciou na to ako len pred dvomi týždňami zase Google informoval ako Microsoft znižuje bezpečnosť Windows 7 a 8.1 tým, že opravuje chyby len vo Windows 10 a z opravených súborov sa dajú zistiť chyby stále prítomné v skorších verziách. Zároveň porovnávanie využívaných bezpečnostných technológií v Chrome a Edge je pravdepodobne priamou reakciou na zverejnené porovnanie bezpečnosti prehliadačov spred mesiaca, kedy štúdia platená Google vyhlásila za najbezpečnejší prehliadač Chrome. Najnovšie články: Diskusia:
Pridať komentár | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
