กลุ่มวิเคราะห์ภัยคุกคามของ Google ได้เปิดเผยชุดของช่องโหว่ที่เป็นอันตรายใน Adobe Flash และเคอร์เนล Microsoft Windows ที่กำลังถูกใช้งานอย่างแข็งขันสำหรับการโจมตีมัลแวร์กับเบราว์เซอร์ Chrome Google ได้ประกาศข้อบกพร่องด้านความปลอดภัยใน Windows อย่างเปิดเผยเพียง 10 วันหลังจากเปิดเผยต่อ Microsoft ในวันที่ 21 ตุลาคม Google ยังชี้ให้เห็นว่าข้อบกพร่องนี้สามารถใช้งานได้อย่างก้าวร้าวโดยผู้โจมตีและผู้เขียนโค๊ดเพื่อลดความปลอดภัยในระบบ Windows คอมพิวเตอร์ที่ใช้มัลแวร์

สิ่งนี้สามารถทำได้โดยการอนุญาตให้นักพัฒนาที่มีความซื่อสัตย์น้อยกว่าสามารถหลบหนีจากแซนด์บ็อกซ์รักษาความปลอดภัยของ Windows ที่ดำเนินการเฉพาะแอพระดับผู้ใช้โดยไม่ต้องเข้าถึงผู้ดูแลระบบ ดำน้ำลึกลงไปเล็กน้อยในด้านเทคนิค, win32k.sys ซึ่งเป็นระบบสนับสนุน Windows ที่ใช้เป็นหลักในการทำงานด้านกราฟิกนั้นได้รับการโทรเฉพาะที่ให้สิทธิ์การเข้าถึงสภาพแวดล้อม Windows อย่างสมบูรณ์ Google Chrome มีกลไกป้องกันอยู่แล้วสำหรับข้อบกพร่องประเภทนี้และบล็อกการโจมตีนี้ใน Windows 10 โดยใช้การดัดแปลงไปยัง Chromium sandbox ที่เรียกว่า "Win32k lockdown"

Google อธิบายช่องโหว่ของ Windows นี้โดยเฉพาะดังนี้:

“ ช่องโหว่ของ Windows คือการเพิ่มสิทธิ์แบบโลคัลในเคอร์เนล Windows ที่สามารถใช้เป็นช่องโหว่ด้านความปลอดภัย มันสามารถถูกทริกเกอร์ผ่านการเรียกระบบ win32k.sys NtSetWindowLongPtr () สำหรับดัชนี GWLP_ID บนตัวจัดการหน้าต่างด้วย GWL_STYLE ตั้งค่าเป็น WS_CHILD กล่องแซนด์บ็อกซ์ของ Chrome บล็อกการเรียกระบบ win32k.sys โดยใช้การลดการล็อค Win32k ใน Windows 10 ซึ่งป้องกันการเอารัดเอาเปรียบช่องโหว่ Sandbox นี้หลบหนี”

แม้ว่านี่จะไม่ใช่ครั้งแรกที่ Google พบข้อบกพร่องด้านความปลอดภัยของ Windows พวกเขาเผยแพร่คำแถลงสาธารณะเกี่ยวกับช่องโหว่และต่อมาได้ทุบตี Microsoft เพื่อเผยแพร่บันทึกสาธารณะก่อนขีด จำกัด เจ็ดวันอย่างเป็นทางการที่ให้แก่ผู้ผลิตซอฟต์แวร์เพื่อแก้ไขปัญหา

“ หลังจาก 7 วันตามนโยบายที่เราเผยแพร่เพื่อหาช่องโหว่ที่สำคัญเรากำลังเปิดเผยถึงช่องโหว่ที่สำคัญที่ยังหลงเหลืออยู่ใน Windows ซึ่งยังไม่มีคำแนะนำหรือการแก้ไขใด ๆ ” Neel Mehta และ Billy Leonard จากการวิเคราะห์ภัยคุกคามของ Google กลุ่ม” ช่องโหว่นี้ร้ายแรงเป็นพิเศษเพราะเรารู้ว่ากำลังถูกใช้ประโยชน์อย่างแข็งขัน”

ช่องโหว่แบบ zero-day เป็นข้อบกพร่องด้านความปลอดภัยที่เปิดเผยต่อผู้ใช้ใหม่ และในขณะนี้ผ่านช่วงเวลาเจ็ดวันไปแล้วยังไม่มีการแก้ไขโปรแกรมแก้ไขที่เกี่ยวข้องกับข้อผิดพลาดนี้จาก Microsoft

ช่องโหว่ของ Flash (เปิดเผยเมื่อวันที่ 21 ตุลาคม) ที่ Google แบ่งปันกับ Adobe นั้นได้รับการติดตั้งแล้วในวันที่ 26 ตุลาคมดังนั้นผู้ใช้สามารถอัปเดตเป็น Flash เวอร์ชันล่าสุดได้อย่างง่ายดาย แต่แล้วอีกครั้ง Microsoft ได้ชี้ให้เห็นอย่างชัดเจนว่าสำหรับเว็บปลั๊กอินอย่างง่ายเช่น Flash การออก patch ภายในเจ็ดวันไม่ใช่เป้าหมายที่ท้าทาย แต่สำหรับ OS ที่ซับซ้อนเช่น Windows มันแทบจะเป็นไปไม่ได้ที่จะเขียนรหัสทดสอบและออก แพทช์สำหรับข้อบกพร่องด้านความปลอดภัยภายในหนึ่งสัปดาห์

ไม่เพียง แต่ Microsoft เท่านั้น แต่ บริษัท ซอฟต์แวร์รายใหญ่หลายแห่งได้ต่อต้านนโยบายการโต้เถียงของ Google ในการเปิดเผยข้อบกพร่องภายในระยะเวลาหนึ่งสัปดาห์ แต่ Google ยืนยันว่าการรักษาความปลอดภัยสาธารณะนั้นปลอดภัยยิ่งขึ้นเพื่อสร้างการรับรู้เกี่ยวกับข้อผิดพลาด