Grup Analisis Ancaman Google baru-baru ini menemukan serangkaian kerentanan berbahaya di Adobe Flash dan Kernel Microsoft Windows yang sedang aktif digunakan untuk serangan malware terhadap browser Chrome. Google secara terbuka mengumumkan kelemahan keamanan di Windows hanya 10 hari setelah mengungkapkannya ke Microsoft pada 21 Oktober. Google juga menunjukkan bahwa kelemahan ini dapat digunakan secara agresif oleh penyerang dan pembuat kode untuk kompromi keamanan dalam sistem Windows dengan mendapatkan akses tingkat administrator ke komputer menggunakan a perangkat lunak jahat.
Ini dapat dicapai dengan mengizinkan pengembang yang kurang jujur untuk keluar dari kotak pasir keamanan Windows yang hanya menjalankan aplikasi tingkat pengguna tanpa memerlukan akses admin. Menyelam sedikit lebih dalam ke teknis, win32k.sys, sistem Windows yang mendukung warisan perpustakaan yang digunakan terutama untuk grafik, mengeluarkan panggilan khusus yang memberikan akses penuh ke Windows lingkungan Hidup. Google Chrome sudah memiliki mekanisme pertahanan untuk jenis cacat ini dan memblokir serangan ini pada Windows 10 menggunakan modifikasi pada kotak pasir Chromium yang disebut “
Kuncian Win32k“.Google menggambarkan kerentanan Windows khusus ini sebagai berikut:
“Kerentanan Windows adalah eskalasi hak istimewa lokal di kernel Windows yang dapat digunakan sebagai pelarian sandbox keamanan. Ini dapat dipicu melalui panggilan sistem win32k.sys NtSetWindowLongPtr() untuk indeks GWLP_ID pada pegangan jendela dengan GWL_STYLE disetel ke WS_CHILD. Kotak pasir Chrome memblokir panggilan sistem win32k.sys menggunakan mitigasi penguncian Win32k di Windows 10, yang mencegah eksploitasi kerentanan pelarian kotak pasir ini.”
Meskipun ini bukan pertemuan pertama Google dengan kelemahan keamanan Windows, mereka merilis pernyataan publik mengenai kerentanan dan kemudian memukul Microsoft saya karena merilis catatan publik sebelum batas resmi tujuh hari yang diberikan kepada produsen perangkat lunak untuk mengeluarkan a memperbaiki.
“Setelah 7 hari, menurut kami kebijakan yang diterbitkan untuk kerentanan kritis yang dieksploitasi secara aktif, kami hari ini mengungkapkan keberadaan kerentanan kritis yang tersisa di Windows yang belum ada saran atau perbaikannya,” tulis Neel Mehta dan Billy Leonard dari Google’s Threat Analysis Group.” Kerentanan ini sangat serius karena kami tahu sedang aktif dieksploitasi.”
SEBUAH kerentanan zero-day adalah kelemahan keamanan yang diungkapkan kepada publik yang baru bagi pengguna. Dan sekarang setelah periode waktu tujuh hari telah berlalu, masih belum ada perbaikan tambalan yang tersedia terkait bug ini dari Microsoft.
Kerentanan Flash (juga diungkapkan pada 21 Oktober) yang dibagikan Google dengan Adobe telah ditambal pada 26 Oktober. Jadi pengguna cukup mengupdate Flash ke versi terbaru. Tetapi sekali lagi, Microsoft telah secara aktif menunjukkan bahwa untuk plugin web sederhana seperti Flash, mengeluarkan tambalan dalam waktu tujuh hari bukanlah target yang menantang, tetapi untuk OS yang kompleks seperti Windows, hampir tidak mungkin untuk membuat kode, menguji, dan mengeluarkan tambalan untuk kelemahan keamanan dalam minggu.
Bukan hanya Microsoft, tetapi banyak entitas perangkat lunak besar lainnya secara aktif menentang kebijakan kontroversial Google yang mengungkapkan kelemahan dalam a batas minggu, tetapi Google telah mempertahankan bahwa lebih aman bagi keamanan publik untuk menciptakan kesadaran tentang bug yang terus ada yang dapat membahayakan pengguna keamanan.
