Google 0Day项目又披露Windows 0Day漏洞 属于远程代码执行漏洞 而且据称可以自我传播

google 0Day项目的安全研究人员在微软的 windows 操作系统中发现了另一个关键的远程代码执行 (rce) 漏洞,并表示这个问题非常严重。微软还没有回应最新的反馈, 但按照惯例9号是补丁日,希望其中能包含这个漏洞的补丁。

Google 0Day项目披露Windows 0Day漏洞RCE

Tavis Ormandy 在周末宣布, 他和另一个项目零研究员Natalie Silvanovich 发现了 "最糟糕的 windows 远程代码执行漏洞。报告正在制作中。

Ormandy 没有提供任何进一步windows rce漏洞的细节,因为Google给出了90天的安全披露截止日期,以便所有软件供应商修补他们的产品,然后透露给公众。这意味着, 即使微软没有修补这个问题, windows 中新的 rce 漏洞的细节也可能在90天内披露。

然而, Ormandy 后来还是透露了一些Windows rce 漏洞的信息

这个漏洞对默认的Windows 安装是有效的。

攻击者不需要在与受害人相同的局域网 (lan) 上, 这意味着易受攻击的 windows 计算机可以被远程攻击。

攻击是 "wormable" ,有能力进行自我传播。

Google 0Day项目引发争议

尽管没有发布任何关于 rce 缺陷的技术细节, 但一些为企业工作的 it 专业人员批评 google 项目零研究员, 批评他们公开了漏洞, 而 twitter 的信息安全社区则表示支持。 Google 0Day项目零研究员Natalie Silvanovich表示:

"如果一条 tweet 在你的组织中引起恐慌或混乱, 问题不是信息发布, 而是你的组织出现问题,"

这不是谷歌安全研究人员第一次发现微软产品缺陷的。最近在二月, google 研究人员披露了一个未修补漏洞的细节, 影响了微软的Edge和 ie 浏览器。随后微软发布了一个补丁, 并入下周二补丁包中, 但微软批评谷歌的所有细节公开, 使成千上万的 windows 用户面临被黑客攻击。

发表评论