Flaw Not CriticalMicrosoft challeng

Flaw Not Critical

Microsoft challenged Google's analysis of the Windows flaw in a statement provided to TechNewsWorld by spokesperson Charlotte Heesacker.

"We disagree with Google's characterization of a local elevation of privilege as 'critical' and 'particularly serious,' since the attack scenario they describe is fully mitigated by the deployment of the Adobe Flash update released last week," Microsoft said.

After cracking a system, hackers typically try to elevate their privileges in it to obtain access to increasingly sensitive data.

"Additionally, our analysis indicates that this specific attack was never effective against the Windows 10 Anniversary Update due to security enhancements previously implemented," Microsoft noted.

The Windows vulnerability Google's team discovered is a local privilege escalation in the Windows kernel that can be used as a security sandbox escape triggered by a win32k.sys call, according to Mehta and Leonard.

The sandbox in Google's Chrome browser blocks win32k.sys calls using the Win32k lockdown mitigation on Windows 10, which prevents exploitation of the sandbox escape vulnerability, they explained in their post.

Short Deadline

Although Google contrasted Adobe's quick action in patching its zero day vulnerability with Microsoft's inaction, the comparison may be less than fair.

"The time to patch code in Adobe Reader or Flash versus something that integrates into an operating system is considerably different," said Brian Martin, director of vulnerability intelligence at Risk Based Security.

What takes time is not so much changing the code as testing it after it's changed, he explained.

"If Microsoft patches code in one version of Windows, it will likely affect several other versions," Martin told TechNewsWorld.

"Then they have platform issues -- 32-bit and 64-bit -- and then the different versions -- home, professional, server, whatever," he pointed out.

"The amount of time it takes to patch it is one thing," he said. "The amount of time to go through the full QA cycle is another. Seven days is generally considered unrealistic for an operating system."

To Disclose or Not

The short deadline was necessary because it saw the vulnerability being exploited by hackers, Google's team maintained. That logic, though can be a two-edged sword.

"To me, this doesn't ultimately help achieve everyone's goal, which should be keeping consumers and their data safe," said Udi Yavo, CTO of enSilo.

"By disclosing a vulnerability early, without allowing time for a patch, Google opened up the small pool of people who found the vulnerability and knew how to exploit it, to all," he told TechNewsWorld.

However, keeping the vulnerability under wraps at all is questionable, suggested Jim McGregor, principal analyst at Tirias Research.

"Considering how closely the hacker community communicates, seven days may have been too much time," he told TechNewsWorld.

"Google was being a friendly corporate citizen by letting Microsoft know about the vulnerability, but in my mind it would have been more appropriate to make it public knowledge once you see it in the wild," McGregor said.

"A vulnerability can spread though the hacker community in milliseconds," he remarked. "By not making the vulnerability public, the only people who don't know about it are the people who should know about it.

ผลลัพธ์ (ไทย) 1:

ข้อบกพร่องสำคัญMicrosoft ท้าทายของ Google การวิเคราะห์ข้อบกพร่องในคำสั่งให้แก่ TechNewsWorld โฆษก Charlotte Heesacker Windows"เราไม่เห็นด้วยกับลักษณะของ Google ของการยกระดับสิทธิ์เป็น 'สำคัญ' และ 'โดยเฉพาะอย่างยิ่งร้ายแรง ท้องถิ่นเนื่องจากสถานการณ์การโจมตีพวกเขาอธิบายอย่างเต็มที่ลดลงการใช้งานของโปรแกรม Adobe Flash ปรับปรุงเผยแพร่เมื่อสัปดาห์ กล่าวหลังจากแตกระบบ แฮกเกอร์มักจะพยายามยกระดับของสิทธิ์ในการเข้าถึงข้อมูลที่สำคัญมากขึ้น"นอกจากนี้ วิเคราะห์บ่งชี้ว่า โจมตีเฉพาะนี้ไม่มีผลกับการปรับปรุง Windows 10 ปีเนื่องจากก่อนหน้านี้ ดำเนินการ การปรับปรุงความปลอดภัย" Microsoft ที่ระบุไว้ทีมงานของ Google ช่องโหว่ Windows ค้นพบคือ การจัดการท้องถิ่นสิทธิ์ในเคอร์เนลของ Windows ที่สามารถใช้เป็นหนีทรายปลอดภัยโดยเรียก win32k.sys ตามทาและลีโอนาร์ดSandbox ในเบราว์เซอร์ Chrome ของ Google เรียกบล็อก win32k.sys ใช้บรรเทาการ lockdown Win32k บน Windows 10 ซึ่งทำให้แสวงหาประโยชน์จากช่องโหว่หนี sandbox พวกเขาอธิบายในโพสต์ของพวกเขากำหนดเวลาที่สั้นแม้ว่า Google ต่างดำเนินการด่วนของ Adobe ในการปรับปรุงช่องโหว่วันศูนย์กับของ Microsoft ไม่ทำการใด ๆ การเปรียบเทียบอาจน้อยกว่ายุติธรรม"เวลาปรับปรุงรหัสในโปรแกรม Adobe Reader หรือแฟลชเมื่อเทียบกับสิ่งที่รวมลงในระบบปฏิบัติการแตกต่างกันมาก, " กล่าวว่า Brian มาร์ติน ผู้อำนวยการข่าวกรองช่องโหว่ที่เสี่ยงการรักษาความปลอดภัยWhat takes time is not so much changing the code as testing it after it's changed, he explained."If Microsoft patches code in one version of Windows, it will likely affect several other versions," Martin told TechNewsWorld."Then they have platform issues -- 32-bit and 64-bit -- and then the different versions -- home, professional, server, whatever," he pointed out."The amount of time it takes to patch it is one thing," he said. "The amount of time to go through the full QA cycle is another. Seven days is generally considered unrealistic for an operating system."To Disclose or NotThe short deadline was necessary because it saw the vulnerability being exploited by hackers, Google's team maintained. That logic, though can be a two-edged sword."To me, this doesn't ultimately help achieve everyone's goal, which should be keeping consumers and their data safe," said Udi Yavo, CTO of enSilo."By disclosing a vulnerability early, without allowing time for a patch, Google opened up the small pool of people who found the vulnerability and knew how to exploit it, to all," he told TechNewsWorld.However, keeping the vulnerability under wraps at all is questionable, suggested Jim McGregor, principal analyst at Tirias Research."Considering how closely the hacker community communicates, seven days may have been too much time," he told TechNewsWorld."Google ถูกองค์กรพลเมืองดี โดยให้ Microsoft ทราบเกี่ยวกับช่องโหว่ แต่ในใจ ก็จะได้รับที่เหมาะสมเพื่อให้ความรู้เมื่อคุณเห็นในป่า แมคเกรเกอร์กล่าวเขากล่าวว่า "ช่องโหว่สามารถแพร่กระจายแม้ว่าชุมชนของแฮ็กเกอร์มิลลิวินาที "โดยไม่ทำให้ช่องโหว่ที่สาธารณะ คนเท่านั้นที่ไม่รู้เรื่องเป็นคนที่ควรรู้เกี่ยวกับมัน

ผลลัพธ์ (ไทย) 2:

ข้อบกพร่องที่ไม่สำคัญ

Microsoft ท้าทายการวิเคราะห์ของ Google ข้อบกพร่องของ Windows ในคำสั่งให้กับ TechNewsWorld โดยโฆษกของชาร์ลอ Heesacker.

"เราไม่เห็นด้วยกับตัวละครของ Google ของการยกระดับสิทธิ์เป็น 'สำคัญ' และ 'อย่างจริงจังโดยเฉพาะอย่างยิ่ง' เนื่องจากสถานการณ์การโจมตีพวกเขาอธิบาย จะลดลงอย่างเต็มที่โดยการใช้งานของการปรับปรุง Adobe Flash เปิดตัวในสัปดาห์ที่ผ่านมา "ไมโครซอฟท์กล่าวว่า.

หลังจากการแตกร้าวระบบแฮกเกอร์มักจะพยายามที่จะยกระดับสิทธิพิเศษของพวกเขาอยู่ในนั้นจะได้รับการเข้าถึงข้อมูลที่สำคัญมากขึ้น.

" นอกจากนี้การวิเคราะห์ของเราแสดงให้เห็นว่านี้โดยเฉพาะ การโจมตีก็ไม่เคยมีผลต่อการปรับปรุงการครบรอบของ Windows 10 เนื่องจากการปรับปรุงการรักษาความปลอดภัยการใช้งานก่อนหน้านี้ "ไมโครซอฟท์ตั้งข้อสังเกต.

ของ Windows ช่องโหว่ทีมงาน Google ค้นพบเป็นเพิ่มสิทธิท้องถิ่นในเคอร์เนล Windows ที่สามารถนำมาใช้เป็นที่หลบหนีการรักษาความปลอดภัย Sandbox เรียกโดย Win32k โทร SYS ตามเมธาและลีโอนาร์.

sandbox ที่ใน Google Chrome ของเบราว์เซอร์บล็อก win32k.sys สายโดยใช้การ lockdown บรรเทา Win32k บน Windows 10 ซึ่งจะช่วยป้องกันการใช้ประโยชน์จากช่องโหว่ Sandbox หนีพวกเขาอธิบายในการโพสต์ของพวกเขา.

กำหนดเวลาสั้น

แม้ว่า Google เทียบ Adobe ของ ดำเนินการอย่างรวดเร็วในการซ่อมช่องโหว่ศูนย์วันที่มีอยู่เฉยไมโครซอฟท์เปรียบเทียบอาจจะน้อยกว่าที่เป็นธรรม.

"ถึงเวลาที่จะแก้ไขรหัสใน Adobe Reader หรือแฟลชเมื่อเทียบกับสิ่งที่บูรณาการเป็นระบบปฏิบัติการที่แตกต่างกันมาก" ไบรอันมาร์ตินผู้อำนวยการกล่าวว่า หน่วยสืบราชการลับช่องโหว่ที่มีความเสี่ยงจากการรักษาความปลอดภัย.

สิ่งที่ต้องใช้เวลาไม่มากเปลี่ยนรหัสเป็นการทดสอบนั้นหลังจากที่มันเปลี่ยนเขาอธิบาย.

"ถ้าไมโครซอฟท์แพทช์รหัสในหนึ่งรุ่นของ Windows ก็มีแนวโน้มที่จะส่งผลกระทบต่อรุ่นอื่น ๆ อีกหลาย" มาร์ตินบอก TechNewsWorld .

"แล้วพวกเขาก็มีปัญหาแพลตฟอร์ม - 32 บิตและ 64 บิต - แล้วรุ่นแตกต่างกัน - บ้านมืออาชีพ, เซิร์ฟเวอร์, สิ่งที่". เขาชี้ให้เห็น

"ระยะเวลาที่ใช้ในการแก้ไขก็เป็นหนึ่งใน สิ่งที่ "เขากล่าว "ระยะเวลาที่จะไปผ่านวงจรควบคุมเต็มรูปแบบเป็นอีกหนึ่ง. เจ็ดวันโดยทั่วไปถือว่าไม่สมจริงสำหรับระบบปฏิบัติการ."

ในการเปิดเผยข้อมูลหรือไม่ได้

กำหนดเส้นตายสั้นเป็นสิ่งจำเป็นเพราะมันเห็นช่องโหว่ดังกล่าวถูกโจมตีโดยแฮกเกอร์ทีมงาน Google ของการบำรุงรักษา ตรรกะที่แม้ว่าอาจจะเป็นดาบสองคม.

"ฉันนี้ไม่ได้ในที่สุดช่วยให้บรรลุเป้าหมายของทุกคนที่ควรได้รับการรักษาผู้บริโภคและข้อมูลของพวกเขาปลอดภัย" Udi Yavo, CTO ของ enSilo กล่าวว่า.

"โดยเปิดเผยช่องโหว่ ต้นโดยไม่อนุญาตให้เวลาสำหรับแพทช์, Google เปิดสระว่ายน้ำเล็ก ๆ ของคนที่พบช่องโหว่และรู้วิธีที่จะใช้ประโยชน์จากมันไปทั้งหมด "เขาบอก TechNewsWorld.

อย่างไรก็ตามการรักษาช่องโหว่ดังกล่าวภายใต้ wraps ที่ทุกคนเป็นที่น่าสงสัยแนะนำจิม เกรเกอร์นักวิเคราะห์หลักที่ Tirias วิจัย.

"พิจารณาวิธีการอย่างใกล้ชิดกับชุมชนแฮกเกอร์สื่อสารเจ็ดวันอาจจะได้รับเวลามากเกินไป" เขาบอก TechNewsWorld.

"Google ถูกพลเมืององค์กรที่เป็นมิตรโดยให้ไมโครซอฟท์รู้เกี่ยวกับช่องโหว่ แต่ในของฉัน ใจก็จะได้รับความเหมาะสมมากขึ้นเพื่อให้ความรู้ประชาชนเมื่อคุณเห็นมันอยู่ในป่า "เกรเกอร์กล่าวว่า.

" ช่องโหว่ที่สามารถแพร่กระจายแม้ว่าชุมชนของแฮ็กเกอร์ในหน่วยมิลลิวินาที "เขาตั้งข้อสังเกต "โดยไม่ได้ทำให้ประชาชนช่องโหว่คนเท่านั้นที่ไม่ทราบเกี่ยวกับเรื่องนี้คือคนที่ควรรู้เกี่ยวกับมัน