Jedes Mal, wenn Tavis Ormandy und das Project Zero von Google etwas über einen Bug veröffentlichen, zittert das Web. Es handelt sich um Leute, die sehr gut in ihrer Arbeit sind und rücksichtslos Informationen veröffentlichen, ein Detail, das zu erheblichen Spannungen mit mehreren Unternehmen geführt hat, insbesondere mit Microsoft. Aber diesmal ist das Team von Offensive Security Research aus Redmond an der Reihe, das gerade einen Bug im Google Chrome Browser entdeckt hat, der es einem Angreifer ermöglicht, Code aus der Ferne auszuführen.
Der erste größere Konflikt zwischen dem Project Zero von Google und Microsoft entstand im Januar 2015. Das Team aus Mountain View gibt 90 Tage Zeit, bevor es Details zu einem Bug veröffentlicht, aber Redmond hat mehr als einmal erklärt, dass diese 90 Tage nicht immer ausreichen, und wenn die Forscher trotzdem veröffentlichen, setzen sie die Benutzer nur unnötigen Risiken aus. Die Diskussion polarisierte schnell, aber die Meinung des durchschnittlichen Benutzers ist, dass beide Unternehmen aus mehreren Gründen falsch liegen. Die Qualitätskontrolle von Microsoft ist miserabel, und es gibt keinen besseren Beweis dafür als ihre zerstörerischen Hotfixes für Betriebssysteme. Auf der anderen Seite hat Android mehr Löcher als ein Sieb, und die offiziellen Patches erreichen nur einen minimalen Prozentsatz der Geräte.
Die Schwachstelle
Öffentliche Aussagen haben ihre Wirkung, aber bei Microsoft scheinen sie zu dem Schluss gekommen zu sein, dass es besser ist, mit gleicher Münze zu zahlen, und ihr Team Offensive Security Research begann, sich auf Google Chrome zu konzentrieren. Das erste Ergebnis ist CVE-2017-5121, eine Schwachstelle, die die Remote-Ausführung von Code ermöglichen kann, wenn der Benutzer auf eine speziell gestaltete Seite gelangt. Die letztendliche Auswirkung hängt von den Ausführungsberechtigungen ab, aber die Installation von Schadprogrammen und der Diebstahl von Daten sind nicht ausgeschlossen. Um den Bug zu entdecken, verwendete Microsoft ExprGen, einen Fuzzer basierend auf JavaScript, der von derselben Gruppe entwickelt wurde, die Chakra erstellt hat, die JavaScript-Engine in Edge.
Die Belohnung
Die offizielle Veröffentlichung enthält alle relevanten Details des Falles, aber das Interessanteste steht am Ende. Microsoft meldete CVE-2017-5121 am 14. September mit dem entsprechenden Exploit, woraufhin Google eine Belohnung von 7.500 Dollar vergab. Andere Bugs mit geringerem Profil (gemeldet, aber ohne Exploit) erhöhten die Summe auf 15.837 Dollar. Google entschied sich, die Belohnung zu verdoppeln, und die 30.000 Dollar wurden an das Denise Louise Bildungszentrum gespendet, eine von Microsoft ausgewählte Organisation. In Redmond stellen sie die Entscheidung, Daten über Bugs zu veröffentlichen, bevor die Patches die Benutzer erreichen, immer noch in Frage, aber trotz der Unterschiede ist es gut zu wissen, dass die Fähigkeiten dieser Giganten jemandem helfen können.
