1 -1

Публчно доступний патч до уразливості CVE-2017-5121
Ілюстрація з сайту GitHub

Повідомивши про уразливість в безпеці веб-браузера Chrome, представники Microsoft простежили за ходом її усунення і вказали Google на неправильну послідовність дій при роботі з Open Source-проектом.

14 вересня фахівці з безпеки з компанії Microsoft виявили серйозну уразливість в Chrome - CVE-2017-5121, - повідомивши про це Google з одночасною передачею експлоїта для можливості віддаленого виконання коду (RCE exploit). Авторам цього звіту Google подарувала 7500 USD, а разом з іншими багами, знайденими в Microsoft в результаті проведеного ними комплексного дослідження роботи пісочниць в Chrome, загальна премія склала 15 837 USD. Але куди цікавіше в цій історії виявився погляд Microsoft на подальші дії інженерів Google.

В цілому робота Google над вразливістю CVE-2017-5121 «Out-of-bounds access in V8» в Chrome справила хороше враження, тому що її виправлення було опубліковано вже через 4 дні після першого повідомлення *, а виправлена ​​збірка продукту з'явилася через 3 дня після цього. Однак проблема, яку побачили в Microsoft в цьому процесі, полягає в тому, що вихідний код виправлення був опублікований в GitHub до того, як ці оновлення стали доступні для користувачів програми: «Хоча Цю проблему не давало миттєвого доступу до експлуатації відповідної уразливості, в інших випадках все могло б пройти не так гладко», - пише в блозі Windows Security Джордан Рабет (Jordan Rabet) з команди Microsoft Offensive Security.

У Microsoft роблять висновок, що, нехай така поведінка і може бути природним для Open Source-проекту, воно створює проблеми, коли зловмисники дізнаються про уразливість до публікації патчів: «Конкретно в цьому випадку стабільний канал Chrome залишався підданим уразливості близько місяця після того, як Комміт з'явився в Git. Цього часу цілком достатньо для бажаючих експлуатувати проблему. Деякі компоненти Microsoft Edge, такі як Charka, теж Open Source-проекти. Оскільки ми переконані, що важливо постачати виправлення клієнтам до того, як про них стає відомо, ми оновлюємо Git-репозиторій Chakra тільки після того, як патч доставлений ».

* Швидше це виправлення (див. Ілюстрацію) коректно називати workaround, а не повноцінним патчем. Проблема виникала при оптимізації з використанням аналізатора Escape analysis в TurboFan - JIT-компілятор JavaScript-движка V8. «Глобальне» виправлення подібних вразливостей, як відзначають в Microsoft, з'явиться, коли в Google завершать роботи над функцією ізоляції сайтів, доступною поки тільки в експериментальному режимі.

Постійне посилання до новини: https://www.nixp.ru/news/14204.html . Дмитро Шурупів за матеріалами theregister.co.uk , Microsoft TechNet Blogs , Bugzilla.Redhat.Com .