Ginny Hà
VIP Members
-
04/06/2014
-
88
-
689 bài viết
Google "dọa" công bố chi tiết lỗ hổng Windows AppContainer nếu không được vá
Google cho biết sẽ tiết lộ chi tiết lỗ hổng Windows AppContainer sau khi Microsoft tuyên bố hãng sẽ không vá. Thế nhưng, sau đó gã khổng lồ ‘lật lọng’ và cho biết hãng có thể sẽ khắc phục.
Nhà nghiên cứu James Forshaw của Google Project Zero hôm thứ Năm đăng bài nghiên cứu của mình về tường lửa Windows và AppContainer, được Microsoft mô tả là môi trường thực thi quy trình hạn chế, ngăn các ứng dụng chạy trong môi trường này truy cập vào phần cứng, tệp, registry, các ứng dụng khác và tài nguyên mạng không được phép truy cập.
“Các ứng dụng triển khai trong AppContainer sẽ không thể bị tấn công để thực hiện hành vi độc hại bên ngoài tài nguyên giới hạn chỉ định”, Microsoft cho biết trong tài liệu về AppContainer.
Tuy nhiên, Forshaw cho biết đã phát hiện ra cách vượt qua những hạn chế này, cho phép hacker truy cập các dịch vụ trên localhost và tài nguyên mạng nội bộ.
“Các quy tắc mặc định cho các lớp kết nối [Nền tảng lọc Windows (WFP)] cho phép một số tệp thực thi nhất định kết nối các TCP socket trong AppContainers mà không cần nâng cao đặc quyền”, Forshaw giải thích và đưa ra PoC.
Forshaw đã báo cáo những phát hiện của mình cho Microsoft vào 8/7, nhưng sau đó khoảng 10 ngày, gã khổng lồ công nghệ phản hồi rằng sẽ không vá lỗi do việc khai thác yêu cầu phải xâm nhập được AppContainer.
Theo quy định của Google Project Zero, chi tiết lỗ hổng sẽ được tiết lộ sau 90 ngày nếu bản vá không được phát hành. Tuy nhiên, trong trường hợp này, báo cáo lỗi đã được công bố sớm hơn nhiều. Ngày 19/7, do Microsoft nói rằng sẽ không phát hành bản vá, Project Zero công bố chi tiết về lỗ hổng.
Tuy nhiên, ngay trước khi Forshaw đưa ra bài đăng chi tiết về phát hiện của mình thì vào thứ Năm, Microsoft thông báo với anh rằng họ “quyết định tiếp tục làm việc về vấn đề này”.
Không có gì lạ khi Google tiết lộ chi tiết về các lỗ hổng mà Microsoft đã không vá trong một khung thời gian nhất định, bao gồm cả các lỗ hổng được khai thác tích cực. Thời hạn tiết lộ khắt khe của Google đôi khi khiến Microsoft và các hãng khác bị chỉ trích vì khiến người dùng gặp rủi ro.
Nhà nghiên cứu James Forshaw của Google Project Zero hôm thứ Năm đăng bài nghiên cứu của mình về tường lửa Windows và AppContainer, được Microsoft mô tả là môi trường thực thi quy trình hạn chế, ngăn các ứng dụng chạy trong môi trường này truy cập vào phần cứng, tệp, registry, các ứng dụng khác và tài nguyên mạng không được phép truy cập.
“Các ứng dụng triển khai trong AppContainer sẽ không thể bị tấn công để thực hiện hành vi độc hại bên ngoài tài nguyên giới hạn chỉ định”, Microsoft cho biết trong tài liệu về AppContainer.
Tuy nhiên, Forshaw cho biết đã phát hiện ra cách vượt qua những hạn chế này, cho phép hacker truy cập các dịch vụ trên localhost và tài nguyên mạng nội bộ.
“Các quy tắc mặc định cho các lớp kết nối [Nền tảng lọc Windows (WFP)] cho phép một số tệp thực thi nhất định kết nối các TCP socket trong AppContainers mà không cần nâng cao đặc quyền”, Forshaw giải thích và đưa ra PoC.
Forshaw đã báo cáo những phát hiện của mình cho Microsoft vào 8/7, nhưng sau đó khoảng 10 ngày, gã khổng lồ công nghệ phản hồi rằng sẽ không vá lỗi do việc khai thác yêu cầu phải xâm nhập được AppContainer.
Theo quy định của Google Project Zero, chi tiết lỗ hổng sẽ được tiết lộ sau 90 ngày nếu bản vá không được phát hành. Tuy nhiên, trong trường hợp này, báo cáo lỗi đã được công bố sớm hơn nhiều. Ngày 19/7, do Microsoft nói rằng sẽ không phát hành bản vá, Project Zero công bố chi tiết về lỗ hổng.
Tuy nhiên, ngay trước khi Forshaw đưa ra bài đăng chi tiết về phát hiện của mình thì vào thứ Năm, Microsoft thông báo với anh rằng họ “quyết định tiếp tục làm việc về vấn đề này”.
Không có gì lạ khi Google tiết lộ chi tiết về các lỗ hổng mà Microsoft đã không vá trong một khung thời gian nhất định, bao gồm cả các lỗ hổng được khai thác tích cực. Thời hạn tiết lộ khắt khe của Google đôi khi khiến Microsoft và các hãng khác bị chỉ trích vì khiến người dùng gặp rủi ro.
Nguồn: Security Week