Za każdym razem, gdy Tavis Ormandy i Project Zero z Google publikują coś związanego z błędem, sieć drży. To ludzie bardzo dobrzy w swojej pracy i bezwzględni w publikowaniu informacji – szczegół, który powodował duże tarcia z wieloma firmami, zwłaszcza z Microsoftem. Tym razem jednak przyszła kolej na zespół Offensive Security Research z Redmond, który właśnie odkrył błąd w przeglądarce Google Chrome, umożliwiający atakującemu zdalne wykonanie kodu.
Konflikt o ujawnianie luk
Pierwsze poważne starcie między Project Zero z Google a Microsoftem miało miejsce w styczniu 2015 roku. Zespół z Mountain View daje 90 dni na publikację szczegółów każdego błędu, ale Redmond wielokrotnie tłumaczył, że te 90 dni nie zawsze wystarcza, a jeśli badacze i tak opublikują informacje, jedyne co osiągają, to narażanie użytkowników. Dyskusja szybko się spolaryzowała, ale zdaniem przeciętnego użytkownika obie firmy mają sporo na sumieniu. Kontrola jakości w Microsoft jest fatalna, a najlepszym tego dowodem są niszczące systemy operacyjne hotfixy. Z drugiej strony Android ma więcej dziur niż sito, a oficjalne łatki docierają tylko do minimalnego odsetka urządzeń.
Odkrycie Microsoftu
Publiczne wypowiedzi mają swoje skutki, ale Microsoft chyba doszedł do wniosku, że lepiej odpłacić pięknym za nadobne, a jego zespół Offensive Security Research skupił się na Google Chrome. Pierwszy efekt to CVE-2017-5121, podatność, która może umożliwić zdalne wykonanie kodu, gdy użytkownik trafi na specjalnie przygotowaną stronę. Ostateczny wpływ zależy od uprawnień, z jakimi uruchamiany jest kod, ale nie można wykluczyć instalacji złośliwego oprogramowania i kradzieży danych. Do odkrycia błędu Microsoft użył narzędzia ExprGen, fuzzera opartego na JavaScripcie, zaprojektowanego przez ten sam zespół, który stworzył Chakra, silnik JavaScript w Edge.
Nagroda i darowizna
Oficjalna publikacja zawiera wszystkie istotne szczegóły sprawy, ale najciekawsze jest na końcu. Microsoft zgłosił CVE-2017-5121 14 września wraz z odpowiednim exploitem, a Google przyznał za to nagrodę w wysokości 7500 dolarów. Inne błędy o niższym profilu (zgłoszone, ale bez exploita) podniosły tę sumę do 15 837 dolarów. Google postanowiło wyrównać nagrodę, a 30 tysięcy dolarów zostało przekazanych na Denise Louise Education Center, organizację wybraną przez Microsoft. W Redmond wciąż kwestionują decyzję o publikowaniu informacji o błędach, zanim poprawki dotrą do użytkowników, ale mimo różnic dobrze wiedzieć, że umiejętności tych gigantów mogą pomóc innym.
