Οι χρήστες των Windows φαίνεται να είναι και πάλι εκτεθειμένοι σε επιθέσεις, καθώς ένας προγραμματιστής του Google Project Zero δημοσιοποίησε ένα unpatched κενό ασφαλείας στο λειτουργικό σύστημα της Microsoft.
To μέλος της ομάδας Google Project Zero Mateusz Jurczyk ανακάλυψε μια ευπάθεια στο gdi32.dll που επιτρέπει στους επιτιθέμενους να θέσουν σε κίνδυνο συστήματα των Windows, και σύμφωνα με το blog του, το ελάττωμα είχε αναφερθεί για πρώτη φορά στη Microsoft τον Μάρτιο του 2016.
Η Microsoft αναγνώρισε την ευπάθεια και προσπάθησε να την επιδιορθώσει με την ενημέρωση MS16-074 που κυκλοφόρησε τον Ιούνιο του 2016 αλλά όπως αναφέρει ο Jurczyk , η εταιρεία κατάφερε να επιδιορθώσει μόνο ένα μέρος του προβλήματος.
Ο Jurczyk το γνωστοποίησε στη Microsoft για άλλη μια φορά στις 16 Νοεμβρίου του 2016, αλλά η εταιρεία δεν κυκλοφόρησε κάποιο νέο patch. Έτσι σύμφωνα με την πολιτική γνωστοποίησης ευπαθειών του Google Project Zero, ο ερευνητής δημοσιοποίησε το κενό ασφαλείας μετά από 90 ημέρες.
Μπορεί να ακούγεται κάπως όλο αυτό, αλλά φαίνεται να είναι ο καλύτερος τρόπος να ασκήσεις πίεση σε κάθε εταιρεία να ενδιαφερθεί περισσότερο για την ασφάλεια του τελικού χρήστη.
Η Microsoft δεν έχει σχολιάσει ακόμα αυτή τη νέα αποκάλυψη. Να αναφέρουμε ότι η επόμενη προγραμματισμένη ενημέρωση θα πραγματοποιηθεί στις 14 Μαρτίου, και ότι το Patch Tuesday αυτού του μήνα δεν θα κυκλοφορήσει. Αυτό σημαίνει ότι οι χρήστες των Windows θα παραμείνουν ευάλωτοι σε επιθέσεις, τουλάχιστον μέχρι τον επόμενο μήνα.
Να αναφέρουμε επίσης ότι αν κάποιος κακόβουλος χρήστης θέλει να χρησιμοποιήσει το συγκεκριμένο ελάττωμα ασφαλείας θα πρέπει να δημιουργήσει ένα ειδικό αρχείο EMF. Είναι αυτονόητο ότι θα πρέπει προσέχετε κάθε αρχείο που προέρχεται από άγνωστες πηγές.
Αυτή δεν είναι η πρώτη φορά που η Google δημοσιεύει unpatched κενά ασφαλείας. Η τελευταία φορά ήταν το Νοέμβριο του 2016, κάτι που φυσικά δεν άρεσε και πάρα πολύ στη Microsoft, που επέκρινε την Google για την αποκάλυψη αναφέροντας ότι βάζει όλους τους χρήστες των Windows “σε αυξημένο κίνδυνο.”
Διαβάστε περισσότερα για το zero-day
