微软Windows7、8.1再现零日漏洞

日前，谷歌公司披露了另一个Windows零日漏洞，因为微软公司尚未能修复这个漏洞，这也是1月内第三次谷歌的Project Zero发布关于未打补丁Windows漏洞的细节。

[[127142]]

这个最新的零日漏洞已被证实存在于Windows 7和8.1中，它影响着函数CryptProtectMemory，这可能允许进程间的内存共享和登录会话ID提取。

根据Project Zero对该漏洞的描述，“GNG.sys中的部署在捕捉登录会话id时不会检查令牌的模拟水平，这样普通用户就可以模拟鉴定水平，并解密或加密该登录会话的数据。”

Project Zero最早在10月17日向微软报告了该漏洞，从这一天就开始进入谷歌90天公开披露的最后期限倒计时，谷歌称如果在这个时间内没有“广泛可用的补丁”，漏洞报告将会自动发布。

根据谷歌Project Zero问题跟踪网站的跟进文章显示，微软曾计划将该漏洞的补丁作为2015年1月星期二补丁修复的一部分，但由于兼容性问题而推迟。现在这个补丁计划将包含在2015年2月星期二补丁修复中，而谷歌对该漏洞的披露可能让Windows用户在那之前处于威胁之中。

双方都需要承担责任

谷歌因其自动披露政策而遭到抨击，微软称补丁修复已经在处理中，没必要让用户处于危险之中。安全供应商Veracode公司首席技术官兼首席信息安全官Chris Wysopal对这个漏洞将造成多大的威胁发出了警告。

Wysopal表示：“目前尚不清楚攻击者将如何利用这个漏洞。对于初学者来说，这是一个本地漏洞，这没有远程利用漏洞那么严重。但它可能被用于权限提升，这意味着攻击者可能利用该漏洞来在企业系统安装网络间谍或僵尸恶意软件。”

Wysopal认为谷歌可能要重新考虑其发布零日漏洞报告的政策，并称每个规则都会有例外情况，当对于补丁不能在截止日期前发布有着很好的解释时，谷歌应该延迟公布报告。

“谷歌的90天披露期限很不好，他们貌似没有考虑漏洞能否在90天内安全地修复，”安全供应商Bit9公司解决方案架构师Matt Larsen表示，“微软不能按时修复补丁也不好，或者更糟糕的情况是，补丁存在技术问题。”

Larsen表示，双方都需要承担更多责任，专注于更大的利益，否则对双方都不好，而且在这个过程中用户还会受到伤害。