از یکی از آسیب‌پذیری‌های روز-صفرم ویندوز در تعدادی از حملات ناشناخته استفاده شده است؛ این اتفاق ۱۰ روز پس از آن رخ داده که گوگل به‌طور خصوصی این آسیب‌پذیری را به مایکروسافت گزارش کرده است.
افشاسازی گوگل براساس سیاست داخلی این شرکت فن‌آوری صورت می‌گیرد، این سیاست بیان می‌کند که شرکت‌ها می‌بایست شکاف‌ها را اصلاح کند و در صورتی که این شکاف‌ها با گذشت هفت روز مورد حملات سایبری واقع شدند، آن‌ها را به‌طور عمومی گزارش کنند.
مایکروسافت هنوز توصیه‌نامه یا وصله‌ای را برای این شکاف ارائه نکرده است؛ گوگل می‌گوید که این شکاف از نوع آسیب‌پذیری تشدید امتیاز در هسته‌ی ویندوز است. از این آسیب‌پذیری می‌توان برای فرار از سندباکس و اجرای کد روی دستگاه‌های مورد نفوذ قرار گرفته سوءاستفاده کرد. مایکروسافت خاطرنشان کرد که افشاسازی گوگل کاربران را در معرض خطر قرار می‌دهد.
یکی از سخن‌گویان مایکروسافت گفت: «ما به افشای هماهنگ آسیب‌پذیری‌ها را اعتقاد داریم، و افشاسازی امروز گوگل کاربران را در معرض خطر قرار می‌دهد. ویندوز تنها بستر متعهد به کاربران است که مسائل امنیتی گزارش‌شده را بررسی می‌کند و به‌صورت فعالانه‌ای دستگاه‌های تحت تأثیر واقع‌شده را در اولین فرصت ممکن به‌روز می‌نماید.»
ما به کاربران توصیه می‌کنیم که از ویندوز ۱۰ و مرورگر مایکروسافت اج استفاده کنند تا به این ترتیب از بهترین حفاظت ممکن برخوردار شوند.
درخواست گوگل از مایکروسافت برای اظهار نظر بیشتر در این مورد بی‌جواب مانده است. محققان گوگل به نام‌های نیل میتا و بیلی لئونارد که در گروه تحلیل تهدیدهای این شرکت فعالیت می‌کنند گفته‌اند که این آسیب‌پذیری را در ۲۱ اکتبر به مایکروسافت گزارش داده‌اند، درست همان روزی که گوگل وجود یک مورد شکاف اجرای کد دیگر را در فلش‌پلیر به ادوبی گوش‌زد کرد. ادوبی چهارشنبه‌ی گذشته یک وصله‌ی فوری را برای آسیب‌پذیری مذکور با شناسه‌ی CVE-۲۰۱۶-۷۸۵۵ ارائه کرد؛ ظاهراً از این آسیب‌پذیری هم برای حملات هدف‌مند علیه سازمان‌ها استفاده شده است. به گفته‌ی ادوبی خطای فلش‌پلیر ویندوز ۷، ۸.۱ و ۱۰ را تحت تأثیر قرار داده است. گوگل جزئیات اندکی را در مورد این آسیب‌پذیری منتشر کرد، در حقیقت گوگل در وهله‌ی اول وجود چنین چیزی را به گوش کاربران رساند، و به‌طور هم‌زمان مایکروسافت را برای ارائه‌ی وصله‌ی اضطراری تحت فشار قرار داد.
گوگل درباره‌ی این آسیب‌پذیری توضیح داد: «این آسیب‌پذیری ویندوز از نوع تشدید امتیاز محلی در هسته‌ی ویندوز است که می‌توان از آن برای فرار از سندباکس امنیتی کمک گرفت. این شکاف را می‌توان با استفاده از فراخوانی سامانه‌ای NtSetWindowLongPtr() در win۳۲k.sys برای ایندکس GWLP_ID روی ویندوزی که با GWL_STYLE set to WS_CHILD کنترل می‌شود به جریان انداخت.
گوگل گفت که این آسیب‌پذیری در مرورگر کروم وجود ندارد.
گوگل گفت: «سندباکس کروم فراخوانی‌های سامانه‌ای win۳۲k.sys را به کمک ویژگی Win۳۲k lockdown مسدود می‌کند؛ این ویژگی راه فرار از سندباکس را برای این آسیب‌پذیری مسدود می‌نماید.»
سیاست افشاسازی گوگل به تولیدکنندگان یک فرصت ۶۰ روزه می‌دهد تا آسیب‌پذیری‌های بحرانی را اصلاح کنند، یا کاربران را در مورد خطرات احتمالی آگاه کرده و هرگونه راه حل موقت را ارائه نمایند. این سیاست در ۲۰۱۳ تنظیم شده و شامل یک مهلت هفت روزه برای شکاف‌های امنیتی است که احتمال نفوذ به آن‌ها به شدت بالاست.
گوگل بیان داشت: «دلیل این طرح شاید این باشد که هر روزی که یک آسیب‌پذیری فعال از نظر میزان سوءاستفاده برای کاربران افشانشده باقی بماند و وصله نشود، رایانه‌های بیشتری در معرض نفوذ قرار خواهند گرفت.»
«هفت روز یک جدول زمانی تهاجمی است و شاید برای برخی از تولیدکنندگان و فروشندگانی که قصد به‌روزرسانی محصولاتشان را دارند بسیار کوتاه به نظر برسد، اما برای انتشار توصیه‌های لازم جهت اقدام‌های محدودکننده‌ی خطرات احتمالی، نظیر غیرفعال‌سازی موقت سرویس، محدود کردن دسترسی، یا تماس با تولیدکننده برای کسب اطلاعات بیشتر کافی می‌باشد.
در ابتدای سال ۲۰۱۵، گوگل جزئیات مربوط به ۳ آسیب‌پذیری ویندوز را چند روز قبل از انتشار وصله‌ی سه‌شنبه‌ی خود منتشر کرد و به این روش خواستار پاسخ محکمی از سوی مایکروسافت شد.
چند روز بعد گوگل اطلاعات مربوط به سه خطای OS X را افشا کرد، این خطاها مک را در معرض خطر اجرای کد قرار داده بود. با این حال هیچ‌کدام از این آسیب‌پذیری‌ها در معرض حملات عمومی قرار نگرفته‌اند.
گوگل گفت: «ما کاربران را تشویق می‌کنیم که اطمینان حاصل کنند که به‌روزرسان خودکار تاکنون فلش را به‌روز کرده است، و اگر چنین اتفاقی نیافتاده خودشان به‌طور دستی این به‌روزرسانی را انجام دهند، همچنین هرگاه وصله‌های ویندوز توسط مایکروسافت در دسترس کاربران قرار گرفتند، آن‌ها را اعمال نمایند.»
ثبت نظر