Prestrelka Google a Microsoftu pokračuje, chyba vo Windows zverejnená pred jej opravením

Značky: bezpečnosťMicrosoftGoogle

DSL.sk, 19.2.2018

Prestrelka v oblasti bezpečnosti medzi dvojicou z trojice súčasných gigantov v oblasti spotrebiteľského IT, Google a Microsoftom, aktuálne napísala ďalšie dejstvo, keď Google opäť zverejnil detaily bezpečnostnej zraniteľnosti v Microsoft produktoch predtým ako bola Microsoftom opravená.

Navyše načasovanie a oblasť, v ktorej bola chyba identifikovaná, naznačujú, že Google preveroval predmetnú technológiu respektíve v nej hľadal chyby cielene.

Ďalšia zverejnená zraniteľnosť

Google má svoj vlastný bezpečnostný tím Google Project Zero hľadajúci bezpečnostné chyby aj v produktoch iných spoločností a následne ich nahlasujúci tvorcom. Po nahlásení dáva tvorcom štandardne 90 dní na opravenie chýb a pokiaľ nie sú opravené do tohto termínu, aj tak o nich zverejní kompletné informácie.

V novembri Google identifikoval bezpečnostnú zraniteľnosť v prehliadači Microsoft Edge, ktorý je zabudovaný vo Windows 10. Keď ju Microsoft neopravil do 90 dní a predĺženom termíne o ďalších 14 dní, aby mohol vydať aktualizáciu v rámci svojho pravidelného cyklu, na konci uplynulého týždňa Google zverejnil informácie o zraniteľnosti.

Prestrelka medzi Google a Microsoftom

Navyše ide o zraniteľnosť v spôsobe nasadenia technológie ACG, Arbitrary Code Guard, v prehliadači Edge. Len mesiac pred jej objavením ale Microsoft verejne poukazoval na zraniteľnosť v prehliadači Chrome a demonštroval na nej, ako je Edge lepším prehliadačom keď práve vďaka nasadeniu ACG by takáto zraniteľnosť neohrozila bezpečnosť Edge.

Vyzerá tak vysoko pravdepodobné, že Google preveroval bezpečnosť ACG v Edge respektíve hľadal v nej zraniteľnosti cielene po informáciách Microsoftu. Ten zaútočil na bezpečnosť Google v októbri širšie, keď poukazoval ako Google vopred prezrádza zraniteľnosti vďaka opravám v open source repozitároch Chromium.

Táto reakcia Microsoftu bola zase vysoko pravdepodobne reakciou na kritiku Google na prezrádzanie zraniteľností v skorších verziách Windows niekoľko týždňov predtým.

Prestrelka v oblasti bezpečnosti medzi Google a Microsoftom celkovo trvá už niekoľko rokov, keď Google viackrát zverejnil zraniteľnosti v Microsoft produktoch potom ako ich Microsoft v lehote neopravil. Microsoft tento postup kritizoval, Google na ňom trvá a považuje ho za postup zlepšujúci bezpečnosť.

ACG, detaily zraniteľnosti

ACG je technológiou, ktorá nastavením prístupových práv k jednotlivým stránkam v pamäti zabraňujú po prípadnom zneužití bezpečnostných zraniteľností škodlivému kódu uložiť do pamäti a spustiť útočníkom zvolený kód. To výrazne limituje schopnosť škodlivého kódu infikovať počítač.

Webový prehliadač ale potrebuje generovať dynamický kód, keď moderné prehliadače pre vyšší výkon prekladajú JavaScript do natívneho kódu. Edge používajúci ACG tak má pre generovanie JavaScript kódu samostatný proces, ktorý zapíše dynamicky generovaný kód do zdieľanej pamäte s procesom zobrazujúcim stránku.

Google našiel chybu, ktorá umožňuje tento mechanizmus prekonať a využiť aj pri zapnutej ochrane ACG na spustenie útočníkom zvoleného kódu. Chyba je v značnej miere logickou chybou a nie technickou programátorskou chybou, keď operácie vykonávané procesom pre zapisovanie JavaScript kódu je možné využiť na zmenu oprávnenia pre kód zapísaný útočníkom. Chyba tak eliminuje ochranu ACG.

Hoci technicky je zraniteľnosť samozrejme závažná, z pohľadu dopadu nejde o príliš závažný incident. Ochrana je totiž nová a až do verzie Windows 10 1703 z jari minulého roka využívaná nebola, chyba tak vlastne len vracia bezpečnosť Edge na úroveň spred verzie 1703.

Microsoft podľa informácií Google zraniteľnosť v lehote neopravil, keďže oprava je podľa neho komplikovanejšia ako predpokladal. Microsoft podľa dnešných informácií Google nemá zatiaľ ani stanovený dátum, kedy by mal opravu vydať.




Najnovšie články:



Diskusia:

microsift Od: kubs | Pridané: 19.2.2018 20:58 tu je pekne vydieť ako Microsoft kašle na všetko..nech sa páči, hlavne že máme XY verzií Windows 10 a chyby sa neriešia ale kopia Odpovedať Známka: -1.7 Hodnotiť:

Re: microsift Od: Dddddd | Pridané: 19.2.2018 21:13 Microsoft je krasne nachystany na gdpr nakladom cloud sluzieb. Google sa k tomu dajak nema ... Odpovedať Známka: -6.7 Hodnotiť:

Re: microsift Od: qweasd | Pridané: 20.2.2018 11:10 "Vyzerá tak vysoko pravdepodobné"... kto im pise clanky? Syntaxerror? Odpovedať Známka: 7.5 Hodnotiť:

Re: microsift Od: zxcvbn | Pridané: 20.2.2018 6:49 Vidis to strasne zjednodusene. Pamatam si na blogpost o dizajnovani vypinacieho dialogu vo Windows Vista. Kravina s troma ikonami sa robila rok. Typek pisal, ze zdrojovy kod Win nie je ziadny jednoduchy git a pod., ale strom repozitarov a ich team zacinal az ako tretia zahlbena vetva na tom strome. Kym ich zmeny boli prijate do kmena, presiel rok. Odpovedať Známka: 8.5 Hodnotiť:

Re: microsift Od: aasami | Pridané: 20.2.2018 9:00 zdrojaky windowsu su uz vsetky migrovane v GITe dsl.sk/article.php?article=20133 Odpovedať Známka: 6.0 Hodnotiť:

.............. Od: jhsdfhx | Pridané: 19.2.2018 21:00 ked multimiliardova globalna spolocnost nedokaze opravit jednu chybu za 104 dni tak sa nema pravo co stazovat.. Odpovedať Známka: 4.5 Hodnotiť:

Re: .............. Od: gertrudo | Pridané: 19.2.2018 21:19 Keby to bolo na programatoroch tak je chyba opravena do par dni. Kedze ide o korporaciu ktora ma mega vela zbytocnych managerov pre vsetko, co si davaju porady asi pre pocet roliek toaletaku na hajzli(samozrejme minimalne tri krat sa musia stretnut kvoli takej vaznej veci). Tak len rozhodnutie ze to opravia(aj ked to vsetci zucastneni chcu) trva v klude mesiace:) Odpovedať Známka: 5.6 Hodnotiť:

Re: .............. Od reg.: DenisaSakovaExpertkaSmeruNaVsetko | Pridané: 20.2.2018 1:28 okrem tohoto plati aj to, co napisal PanKorporat pod tebou. Odpovedať Známka: 10.0 Hodnotiť:

ničivý teoretik Od: syntaxterrorX XX | Pridané: 20.2.2018 6:12 V zavislosti na volbe prekladu Arbitrary ale moze platit i nieco priekazne uplne ine. Odpovedať Známka: -6.0 Hodnotiť:

Re: ničivý teoretik Od: syntaxterrorX XX | Pridané: 20.2.2018 8:32 Ale stale som zhuleny a v hlave to mam uplne ze priekazne vykradnute Odpovedať Známka: 10.0 Hodnotiť:

Re: ničivý teoretik Od: syntaxterrorX XX | Pridané: 20.2.2018 9:22 Ved ale hriechom to priekazne nie je. Odpovedať Známka: -2.0 Hodnotiť:

Re: ničivý teoretik Od: syntaxterrorX XX | Pridané: 20.2.2018 9:39 Priekazne som to tu kazdemu natrel, som king of troll a stim nakrivo. Odpovedať Známka: 7.1 Hodnotiť:

Re: ničivý teoretik Od: dj_v | Pridané: 20.2.2018 10:04 :D dobrý matroš Odpovedať Známka: 10.0 Hodnotiť:

Re: .............. Od: PanKorporat | Pridané: 19.2.2018 21:39 Ano, a potom budes pindat, ked sa po aplikovani opravy objavi chyba ako v pripade Spectre/Meltdown, kde potom cele systemy klakli bez poriadneho testovania. Odpovedať Známka: 2.6 Hodnotiť:

Re: .............. Od: dementYl | Pridané: 20.2.2018 7:18 To je pri korporatnych produktoch z velkej casti dane tym, ze nemaju rozumny design ale su od istej urovne nizsie casto v podstate splieskane ad-hoc. Veci nie su zapuzdrene, nemaju celistve API ani deterministicke chovanie. Za to si scasti mozu programatori sami. Odpovedať Známka: 4.0 Hodnotiť:

Re: .............. Od: qwertyuiop1 | Pridané: 20.2.2018 22:18 Programatori si za to sami casto nemozu - su nahanani manazmentom ako zdute kozy, ze vsetko malo byt hotove uz vcera a tak ked chce mat ako taky pokoj/premie/atd, tak spravi nejaky hack, nech to nejako funguje, a ked to vybuchne, tak to bude riesit niekto iny. Potom uz bude zrejmy dovod, preco danemu problemu venovat viac casu. Odpovedať Hodnotiť:

Install Arch Od: Install Arch | Pridané: 19.2.2018 21:38 Linux je najlepší. Install Arch. Odpovedať Známka: 3.3 Hodnotiť:

Re: Install Arch Od: Ja inak | Pridané: 19.2.2018 22:36 Ja som slackware positive ale stále LINUX!!! Odpovedať Známka: 0.9 Hodnotiť:

Re: Install Arch Od: zxcvbn | Pridané: 20.2.2018 9:34 Slackware + apt = Arch Teba bavi ten predpotopny balickovaci system v Slacku? Odpovedať Známka: 0.0 Hodnotiť:

Oprava sa volá curl Od: Jamicon | Pridané: 19.2.2018 22:57 M$ plánuje implementovať curl, takže to jebnuté modré éčko už nebude potrebné na stiahnutie internetového prehliadača. Keďže tým príde o svoju jedinú využiteľnú funkcionalitu, stáva sa úplne zbytočnou súčasťou systému a bude môcť byť odstránený. Tým sa problém vyrieši. Odpovedať Známka: 0.0 Hodnotiť:

Re: Oprava sa volá curl Od: pan kokot | Pridané: 20.2.2018 1:14 nemate teraz jarne prazdniny, alebo take cosi? Odpovedať Známka: 5.2 Hodnotiť:

Re: Oprava sa volá curl Od: fero z moskvy | Pridané: 20.2.2018 7:51 pan kokot a ty si zase dostal heslo k vasej wifi vo vasom psychiatrickom bloku? Odpovedať Známka: -5.8 Hodnotiť:

Re: Oprava sa volá curl Od: pan kokot | Pridané: 20.2.2018 8:04 ano. To sa u osetrovatelov akosi predpoklada. cakas balik od rodiny? Odpovedať Známka: 7.3 Hodnotiť:

Google Play Od: SeppWinkler | Pridané: 20.2.2018 9:33 Keby sa tak G zameral na svoj Google Play, každý týždeň dve správy o tom, ako sa cez oficiálny obchod šíril škodlivý kód v desiatkach aplikácií. Keby sa tak G zameral na univerzálnosť Androidu, aby nebol závislý pri aktualizácii (aj bezpečnostnej) na výrobcovi zariadenia. Odlišnosť sú iba výhovorky. Windows sa aktualizuje na zariadeniach od 1000 výrobcov a bez problémov a na 4 ročnom telefóne mám Android L. Na 7 ročnom PC a 5 ročnom NTB mám najnovšie Windows 10 bez akýchkoľvek problémov a straty výkonu. Odpovedať Známka: 3.8 Hodnotiť:

Re: Google Play Od reg.: TeleKomunista | Pridané: 20.2.2018 9:55 Nakoľko výrobca tvojho pc môže upravovať proprietárny softvér od M$ a nakoľko opensource softvér od Google? Strata výkonu môže byť ťažko postrehnuteľná, ale predsa tam môže byť. Odpovedať Známka: 2.5 Hodnotiť:

Re: Google Play Od: Gokuuu | Pridané: 20.2.2018 13:16 Gplay je totalny chaos. Uz len to ze si nevies odfiltrovat aplikacie podla toho ci v sebe maju alebo nemaju reklamy alebo mikro-tranzakcie. V detaily apky to pise ale filter na to nedaju. $$$ Odpovedať Známka: 7.1 Hodnotiť:

Re: Google Play Od reg.: DenisaSakovaExpertkaSmeruNaVsetko | Pridané: 21.2.2018 2:29 Mikro transakcie ta trapia iba preto, ze si to googlu trvale povolil? Odpovedať Hodnotiť:

Re: Google Play Od: qwertyuiop1 | Pridané: 20.2.2018 22:21 A ktorych tisic vyrobcov vobec vyrabalo tvoj Windows Phone? A pouzili aj iny, ako referencny Qualcomm design? Aha, nie, zabudol si, ze WP fony od vsetkych troch vyrobcov boli ten isty fon v inom obale a obcas s inou bizuteriou (kamera apod). Odpovedať Známka: -3.3 Hodnotiť:

Pridať komentár