Ogni volta che Tavis Ormandy e il Project Zero di Google pubblicano qualcosa su un bug, il Web trema. Si tratta di persone molto brave nel loro lavoro, e implacabili nel diffondere informazioni, un dettaglio che ha causato importanti attriti con diverse aziende, e in particolare con Microsoft. Ma questa volta è il turno del team Offensive Security Research di Redmond, che ha appena scoperto un bug nel browser Google Chrome, che consente a un attaccante di eseguire codice in remoto.
Il primo grande scontro tra il Project Zero di Google e Microsoft si è verificato a gennaio 2015. Il team di Mountain View concede 90 giorni prima di pubblicare i dettagli di qualsiasi bug, ma Redmond ha spiegato più volte che quei 90 giorni non sempre bastano, e se i ricercatori procedono con la pubblicazione comunque, l'unica cosa che ottengono è esporre gli utenti. La discussione si è polarizzata rapidamente, ma l'opinione dell'utente medio è che entrambe le aziende sbagliano per molteplici ragioni. Il controllo qualità di Microsoft è pessimo, e non c'è prova migliore di i suoi hotfix distruttivi dei sistemi operativi. Dall'altra parte, Android ha più buchi di un colino, e le patch ufficiali raggiungono una percentuale minima di dispositivi.
Fare dichiarazioni pubbliche ha il suo effetto, ma in Microsoft sembrano aver concluso che è meglio ripagare con la stessa moneta, e il suo team Offensive Security Research ha iniziato a concentrare gli sforzi su Google Chrome. Il primo risultato è CVE-2017-5121, una vulnerabilità che può abilitare l'esecuzione remota di codice quando l'utente viene indirizzato a una pagina appositamente predisposta. L'impatto finale dipende dai privilegi di esecuzione, ma non si esclude l'installazione di programmi dannosi e il furto di dati. Per scoprire il bug, Microsoft ha utilizzato ExprGen, un fuzzer basato su JavaScript progettato dallo stesso gruppo che ha creato Chakra, il motore JavaScript presente in Edge.
La pubblicazione ufficiale contiene tutti i dettagli rilevanti del caso, ma la parte più interessante si trova alla fine. Microsoft ha segnalato CVE-2017-5121 il 14 settembre con il relativo exploit, e Google ha assegnato una ricompensa di 7.500 dollari. Altri bug di profilo più basso (segnalati ma senza exploit) hanno portato la somma a 15.837 dollari. Google ha deciso di raddoppiare la ricompensa, e i 30.000 dollari sono stati donati al Centro educativo Denise Louise, organizzazione scelta da Microsoft. A Redmond mettono ancora in discussione la decisione di pubblicare dati sui bug prima che le patch arrivino agli utenti, ma nonostante le differenze, è bello sapere che l'abilità di questi giganti può aiutare qualcun altro.
