» »

Google odkril ranljivost v Windows in jo (pre)hitro pokazal

Google odkril ranljivost v Windows in jo (pre)hitro pokazal

Slo-Tech - Google je pred tednom dni sporočil, da je v Windows odkril ranljivost (CVE-2020-17087), ki jo hekerji že aktivno izkoriščajo, zato je Microsoftu dal na razpolago le sedem dni za zakrpanje. Microsoft tako kratkega roka ni izpolnil, zato je Google v v petek zvečer razkril podrobnosti ranljivosti. Ta je nezakrpana (0-day), aktivno napadana in sedaj povsem razkrita. Microsoft bo popravek izdal ob naslednji priložnosti, to je drugi torek v mesecu (10. novembra) na tako imenovani Patch Tuesday.

Googlov Project Zero je namenjen iskanju ranljivosti v najrazličnejši programski opremi več proizvajalcev. O odkritih ranljivostih obvestijo proizvajalca, ki ima potem 90 dni časa, da izda popravek. Google po izdaji popravka ali najpozneje v 90 dneh javnosti razkrije podrobnosti ranljivosti, s čimer se poskrbi, da imajo proizvajalci motivacijo v doglednem času izdelati popravek. Roki pa se spremenijo, ko je ranljivost že aktivno zlorabljena. V tem primeru Google počaka le sedem dni, kar v številnih primerih ni dovolj za pripravo popravka. Microsoft je v konkretnem primeru dejal, da nima nobenih dokazov, da bi se ranljivost že izkoriščala. V preteklosti sta bila Microsoft in Google zaradi prekratkih rokov že na bojni nogi in to ne enkrat.

Z zadnjo ranljivostjo je prizadeta datoteka cng.sys (Windows Kernel Cryptography Driver), kjer gre za prekoračitev predpomnilnika (buffer overflow). Z manipulacijo vhodnih podatkov je možno vriniti kodo, ki se potem izvede izven Chromovega peskovnika. Ranljiva sta Windows 7 in Windows 10. Google je pripravil tudi delujoč prototip (proof of concept code), s katerim je možno zrušiti Windows 10. Ranljivost se je izkoriščala skupaj z luknjo v Chromu v knjižnici za izpis pisav FreeType, ki so jo odpravili minuli teden.

22 komentarjev

techfreak :) ::

Heh, Microsoft potrebuje 18 dni, da zakrpa 0-day ranljivost. ;((

Evolve ::

idiotizem

klinker ::

MS pac. Sposobni so samo se spijunsko kodo pisat. Varnost in popravki pa ena katastrofa, kot se nikoli.

Highlag ::

Potem še dobro, da ne uporabljamo Croma?
Never trust a computer you can't throw out a window

LightBit ::

Ja čakte no morajo najeti podizvajalce v Indiji, da jim popravijo.

Zimonem ::

Ranljivost je cross platform če prav razummem.

LightBit ::

Ranljvost v Chromu ja, ampak zaradi ranljivosti v Winowsih se da priti iz Chromovega peskovnika.

LightBit ::

Highlag je izjavil:

Potem še dobro, da ne uporabljamo Croma?

Verjetno Chrome ni edini ki uporablja cng.sys.

Zimonem ::

LightBit je izjavil:

Highlag je izjavil:

Potem še dobro, da ne uporabljamo Croma?

Verjetno Chrome ni edini ki uporablja cng.sys.

Če bi bil samo Chrome bi ga preprosto blokirali. Najbrž tudi Edge.

sbawe64 ::

Potem bo treba poganajti web browser v sandboxie ali še boljše Qubes OS.
2020 is new 1984
Corona World order

win64 ::

In Quebes OS(karkoli je že to) je brez napak?

RockyS ::

Ranljivost se je izkoriščala skupaj z luknjo v Chromu v knjižnici za izpis pisav FreeType, ki so jo odpravili minuli teden.


In kako hitro je to ranljivost odpravil Google? V tednu dni?

AgiZ ::

Torej kot izgleda Firefox ni prizadet? Super.

Jarno ::

V sodobnih časih je proces spreminjanja kode malce bolj zapleten in zahteva več faz. Vsekakor bolje problem korektno odpraviti skozi uveljavljeno proceduro, kot pa improvizirati. No, lahko bi izdali hotfix, pa so si zgleda premislili.
Google je izsiljeval ravno hotfix, kot mali otrok na sliki iz novice. :)
#65W!

LightBit ::

AgiZ je izjavil:

Torej kot izgleda Firefox ni prizadet? Super.

Ne bi računal na to. Tudi Firefox uporablja FreeType. Vprašanje pa kako ima narejen peskovnik (morda sploh ne učinkuje, ne glede na ta Windows bug).

LightBit ::

RockyS je izjavil:

Ranljivost se je izkoriščala skupaj z luknjo v Chromu v knjižnici za izpis pisav FreeType, ki so jo odpravili minuli teden.


In kako hitro je to ranljivost odpravil Google? V tednu dni?

FreeType in Chrome sta bila izdana 20.10.2020. Sporočeno naj bi bilo dan prej: https://savannah.nongnu.org/bugs/?59308

carota ::

A je to reklama za Edge?

WhiteAngel ::

Hm ... zakaj sploh uporablja Chrome cng.sys, če mora biti cross-platform (libssl, gnutls?)? Razumel bi, da cng.sys uporablja IE ali Edge.

LightBit ::

Saj Edge (Chromium) je imel isto ranljivost.

mtosev ::

Mislim, da so rabili Microsoftu dati 2tedna na voljo, da fixajo.
Core i9 10900X, ASUS Prime X299 Edition 30, 32GB 4x8 3600Mhz G.skill, CM H500M,
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro
moj oče darko 1960-2016, moj labradorec max 2002-2013

techfreak :) ::

To je nekje 2 tedna prepozno, ker Google ocitno ni bil edini, ki je vedel za ranljivost.

HotBurek ::

Na koncu dneva gre za prikrito oglaševanje. Seveda nevede.
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Google spet razkril nezkrpano ranljivost v Windows

Oddelek: Novice / Varnost
94653 (2656) MrStein
»

Google odkril in po dobrem tednu objavil ranljivost v Windows, Microsoft nejevoljen

Oddelek: Novice / Varnost
289161 (6431) krneki0001
»

Google vztraja pri 90-dnevnem roku za odpravo lukenj, Microsoft nejevoljen

Oddelek: Novice / Varnost
3411753 (9386) BigWhale
»

Google in Microsoft pri krpanju lukenj s prstom kažeta drug na drugega

Oddelek: Novice / Varnost
76866 (3302) swar

Več podobnih tem