O Grupo de Análise de Ameaças do Google descobriu recentemente um conjunto de vulnerabilidades prejudiciais no Adobe Flash e no Kernel do Microsoft Windows que estavam sendo usados ativamente para ataques de malware contra o navegador Chrome. O Google anunciou publicamente a falha de segurança no Windows apenas 10 dias após divulgá-la à Microsoft em 21 de outubro. O Google também apontou que essa falha pode ser usada agressivamente por invasores e programadores para comprometer a segurança em sistemas Windows, obtendo acesso de nível de administrador aos computadores usando um malware.
Isso pode ser alcançado permitindo que desenvolvedores menos honestos escapem da sandbox de segurança do Windows que executa apenas aplicativos de nível de usuário sem a necessidade de acesso de administrador. Mergulhando um pouco mais nos detalhes técnicos, o win32k.sys, um sistema Windows de suporte legado biblioteca usada principalmente para gráficos, é emitida uma chamada específica que concede acesso total ao Windows meio Ambiente. O Google Chrome já possui um mecanismo de defesa para esse tipo de falha e bloqueia esse ataque no Windows 10 usando uma modificação na sandbox do Chromium chamada “
Bloqueio Win32k“.O Google descreveu esta vulnerabilidade particular do Windows da seguinte maneira:
“A vulnerabilidade do Windows é um aumento de privilégio local no kernel do Windows que pode ser usado como um escape da área de segurança. Ele pode ser disparado por meio da chamada de sistema win32k.sys NtSetWindowLongPtr () para o índice GWLP_ID em um identificador de janela com GWL_STYLE definido como WS_CHILD. A sandbox do Chrome bloqueia chamadas de sistema win32k.sys usando a atenuação de bloqueio Win32k no Windows 10, que impede a exploração dessa vulnerabilidade de escape da sandbox. ”
Embora este não seja o primeiro encontro do Google com uma falha de segurança do Windows, eles divulgaram uma declaração pública sobre uma vulnerabilidade e foi mais tarde criticou minha Microsoft por lançar uma nota pública antes do limite oficial de sete dias que é concedido aos fabricantes de software para emitir um fixar.
“Após 7 dias, por nosso política publicada para vulnerabilidades críticas exploradas ativamente, estamos divulgando hoje a existência de uma vulnerabilidade crítica restante no Windows para a qual nenhum aviso ou correção foi lançado ”, escreveu Neel Mehta e Billy Leonard do Grupo de Análise de Ameaças do Google. ”Esta vulnerabilidade é particularmente séria porque sabemos que está sendo ativamente explorado. ”
UMA vulnerabilidade de dia zero é uma falha de segurança divulgada publicamente, nova para os usuários. E agora que o período de sete dias passou, ainda não há correção de patch disponível em relação a esse bug da Microsoft.
A vulnerabilidade do Flash (também divulgada em 21 de outubro) que o Google compartilhou com a Adobe foi corrigida em 26 de outubro. Assim, os usuários podem simplesmente atualizar para a versão mais recente do Flash. Mas, novamente, a Microsoft apontou ativamente que para um plug-in da web simples como o Flash, lançar um patch dentro de sete dias não é um alvo desafiador, mas para um sistema operacional complexo como o Windows, é quase impossível codificar, testar e emitir um patch para uma falha de segurança dentro de um semana.
Não apenas a Microsoft, mas muitas outras grandes entidades de software se opuseram ativamente a esta polêmica política do Google de revelar falhas em um limite da semana, mas o Google afirma que é mais seguro para a segurança pública criar consciência sobre um bug persistente que pode comprometer o usuário segurança.
