Microsoft наносит ответный удар: компания обнародовала ошибку безопасности в Chrome

Это «дружеское соревнование» началось осенью прошлого года. Команда безопасности Project Zero Google начала сообщать об ошибках в продуктах Microsoft. Ошибки были найдены в Internet Explorer, Edge, Windows Defender и самой операционной системе Windows.

В то время как компании, сообщающие об ошибках друг другу, не являются чем-то новым, Google сделала шаг вперед со своими отчетами. По крайней мере в двух отдельных случаях группа безопасности сообщала общественности о недостатках продуктов до того, как Microsoft выпускала их исправление. В первый раз это произошло с ошибкой в Windows GDI, а во второй — с IE и Edge.

Google раскритиковала Microsoft

Похоже, Google пересекла черту в начале месяца. Один из исследователей Project Zero раскритиковал методологию исправления ошибок Microsoft. Исследователь отметил, что Microsoft часто предоставляет старым версиям ОС патчи, исправляющие проблемы безопасности, с большим запозданием. Это позволяет злоумышленникам находить источники уязвимостей, исследуя исправления Windows 10.

Удар не остался незамеченным в Microsoft. В сообщении в блоге от 18 октября компания объявила о том, что нашла уязвимости безопасности в продуктах Google. Если точнее, то в браузере Chrome.

Microsoft тоже умеет находить ошибки в продуктах Google

Исследовательская команда Microsoft по вопросам безопасности (OSR) обнаружила ошибку и сообщила об этой проблеме в Google в сентябре. Google в свою очередь исправила ее в Chrome 61 и даже выписала вознаграждение для исследователей Microsoft на сумму в 15 837 $. По данным Microsoft, уязвимость могла привести к удаленному выполнению кода внутри браузера пользователя.

Большая часть найденных сотрудниками Google ошибок были найдены с помощью фаззинга. По иронии судьбы, Microsoft также использовала эту технику тестирования для обнаружения этой ошибки.

По словам обнаружившего ошибку исследователя Microsoft Иордана Рабета, он использовал ExprGen — фаззер, разработанный Microsoft для тестирования JavaScript-движка Edge Chakra. Главная проблема заключалась в том, что исправление ошибки было перенесено в GitHub-репозиторий движка V8. Это потенциально позволило злоумышленникам изучить исправление и обнаружить источник уязвимости.