Google назло Microsoft публикует уязвимости в Windows

Распечатать

Google продолжила действовать Microsoft на нервы: поисковик повторно обнародовал сведения о новой уязвимости в Windows, не дожидаясь ее закрытия. Первая такая публикация была сделана Google несколько дней назад.

Текущая «дыра» содержится в двух версиях операционной системы — 7 и 8.1. Она находится в функции CryptProtectMemory, служащей для шифрования данных в памяти, например, паролей, чтобы их не смогли прочитать другие пользователи.

Уязвимость была найдена участником проекта Google Project Zero Джеймсом Форшоу (James Forshaw) 17 октября 2014 г. «Microsoft проинформировала нас, что патч для этой уязвимости планируется выпустить в январе.

Однако обновление было отложено из-за возникших с совместимостью проблем. Ожидается, что оно выйдет в феврале», — рассказал он.

Ранее Microsoft резко раскритиковала Google за то, что та разместила в открытом доступе информацию об уязвимости в Windows 8.1 и эксплойт к ней всего лишь за два дня до того момента, когда Microsoft собиралась выпустить соответствующий патч.

Уязвимость, информация о которой была опубликована ранее, позволяет пользователям Windows повышать свои привилегии в системе до администратора и получать доступ к функциям, которые по умолчанию должны быть для них недоступны.

Серьезное недовольство, в частности, в официальном блоге корпорации высказал Крис Бетс (Chris Betz), старший директор Microsoft Security Response Center. В длинной статье, автором которой он стал, говорится о появлении более серьезных угроз информационной безопасности и необходимости сплоченной борьбы с ними вместо того, чтобы действовать по отдельности.

«К сожалению, Google пренебрегла правилами координированного раскрытия информации об уязвимостях и опубликовала информацию за два дня до запланированного выпуска обновления, несмотря на наши просьбы не делать этого», — заявил Бетс. По его мнению, для Google оказалось важнее первой сообщить об уязвимости, чем обезопасить пользователей.

«Правила и подходы, заключающиеся в ограничении или пренебрежении партнерских отношений при поиске и устранении уязвимостей, не несут никакой пользы ни самим исследователям, ни разработчикам ПО, ни пользователям. Такие методы оставляют всех в проигрыше», — заявил представитель Microsoft. По его мнению, те, кто раскрывает информацию об уязвимостях до выпуска патчей, наносит вред «миллионам пользователей, зависящих от программного продукта».

По правилам проекта Google, посвященного поиску уязвимостей в популярном программном обеспечении, информация о найденных «дырах» публикуется спустя 90 дней после ее обнаружения и уведомления разработчика — неважно, выпустил он обновление или нет. То есть Google не стала дожидаться выпуска патча, несмотря на то, что у Microsoft появилась уважительная причина его задержки.

В Google ситуацию никак не прокомментировали. Когда компания анонсировала проект в июле 2014 г., говорилось, что, помимо прочего, он позволит оценить расторопность разработчиков программного обеспечения, то есть насколько быстро «дыры» устраняют одни и насколько медленно это делают другие. В компании сочли, что 90 дней вполне достаточно для устранения уязвимости.

По материалам: CNews

(Еще никто не голосовал)

 Loading ...