Sempre que Tavis Ormandy e o Project Zero do Google publicam algo relacionado a um bug, a Web treme. Trata-se de pessoas muito boas no que fazem, e implacáveis na hora de publicar informações, um detalhe que tem causado atritos com várias empresas, especialmente com a Microsoft. Mas desta vez é a vez da equipe Offensive Security Research de Redmond, que acaba de descobrir um bug no navegador Google Chrome, que permite a um atacante executar código remotamente.
O primeiro grande confronto entre o Project Zero do Google e a Microsoft ocorreu em janeiro de 2015. A equipe de Mountain View dá um espaço de 90 dias antes de publicar os detalhes relacionados a qualquer bug, mas a Redmond explicou em mais de uma ocasião que esses 90 dias nem sempre são suficientes, e se os pesquisadores prosseguirem com a publicação mesmo assim, o único que conseguem é expor os usuários. A discussão se polarizou rapidamente, mas a opinião do usuário médio é que ambas as empresas estão erradas por múltiplas razões. O controle de qualidade da Microsoft é péssimo, e não há melhor prova disso do que seus hotfixes destrutores de sistemas operacionais. Na outra calçada, o Android possui mais buracos que uma peneira, e os patches oficiais chegam a uma porcentagem mínima de dispositivos.
Fazer declarações públicas tem seu efeito, mas na Microsoft parecem ter chegado à conclusão de que é melhor pagar com a mesma moeda, e sua equipe Offensive Security Research começou a concentrar esforços no Google Chrome. O primeiro resultado é CVE-2017-5121, vulnerabilidade que pode habilitar a execução remota de código quando o usuário é direcionado a uma página especialmente projetada. O impacto final depende dos privilégios de execução, mas não se descarta a instalação de programas maliciosos e o roubo de dados. Para descobrir o bug, a Microsoft utilizou o ExprGen, um fuzzer baseado em JavaScript projetado pelo mesmo grupo que criou o Chakra, o motor JavaScript que encontramos no Edge.
A publicação oficial traz todos os detalhes relevantes do caso, porém, o mais interessante está no final. A Microsoft reportou o CVE-2017-5121 em 14 de setembro com o exploit correspondente, ao que o Google atribuiu uma recompensa de 7.500 dólares. Outros bugs de perfil mais baixo (relatados mas sem exploit) elevaram a soma para 15.837 dólares. O Google decidiu igualar a recompensa, e os 30 mil dólares foram doados ao Centro de Educação Denise Louise, organização escolhida pela Microsoft. Em Redmond ainda questionam a decisão de publicar dados sobre bugs antes de os patches chegarem aos usuários, mas apesar das diferenças, é bom saber que a habilidade desses titãs pode ajudar a mais alguém.
