Эксперты Google опубликовали данные о неисправленной уязвимости в браузере Microsoft Edge - «Новости»
Новое расположение инструментов в меню — «Блог для вебмастеров»
Новое расположение инструментов в меню — «Блог для вебмастеров»
«Точка невозврата уже пройдена»: инсайдер рассказал, что происходит со Star Citizen - «Новости сети»
«Точка невозврата уже пройдена»: инсайдер рассказал, что происходит со Star Citizen - «Новости сети»
«Моя 2060 начинает плавиться от одного взгляда на это»: для Warhammer 40,000: Space Marine 2 вышел набор 4K-текстур, который весит больше самой игры - «Новости сети»
«Моя 2060 начинает плавиться от одного взгляда на это»: для Warhammer 40,000: Space Marine 2 вышел набор 4K-текстур, который весит больше самой игры - «Новости сети»
Valve объяснила, чего хочет добиться в Steam Deck 2 и почему отказывается выпускать новые модели каждый год - «Новости сети»
Valve объяснила, чего хочет добиться в Steam Deck 2 и почему отказывается выпускать новые модели каждый год - «Новости сети»
Китайский человекоподобный робот установил рекорд скорости благодаря качественным кроссовкам - «Новости сети»
Китайский человекоподобный робот установил рекорд скорости благодаря качественным кроссовкам - «Новости сети»
Энтузиаст снял крышку с процессора Intel Arrow Lake-S, показав все его кристаллы - «Новости сети»
Энтузиаст снял крышку с процессора Intel Arrow Lake-S, показав все его кристаллы - «Новости сети»
Тёмная тема в обновленном Вебмастере — «Блог для вебмастеров»
Тёмная тема в обновленном Вебмастере — «Блог для вебмастеров»
Android 15 делает устройства практически неуязвимыми для краж - «Новости сети»
Android 15 делает устройства практически неуязвимыми для краж - «Новости сети»
ASML проговорилась о надвигающейся катастрофе: из-за антикитайских санкций компания лишилась более половины заказов - «Новости сети»
ASML проговорилась о надвигающейся катастрофе: из-за антикитайских санкций компания лишилась более половины заказов - «Новости сети»
AMD и Intel объединились во имя процветания архитектуры x86 - «Новости сети»
AMD и Intel объединились во имя процветания архитектуры x86 - «Новости сети»
Новости мира Интернет » Новости » Эксперты Google опубликовали данные о неисправленной уязвимости в браузере Microsoft Edge - «Новости»

Специалист Google Project Zero раскрыл информацию о баге в браузере Microsoft Edge, который помогает обойти защитный механизм Arbitrary Code Guard (ACG). Эта функциональность появилась еще в апреле 2017 года, с выходом Windows 10 Creators Update, наряду с Code Integrity Guard. Механизм ACG призван не дать потенциальному атакующему загрузить в память машины неподписанный вредоносный код посредством Edge. Более подробное описание этой сравнительно новой защитной функции можно найти в блоге компании.


Эксперт Google Project Zero Иван Фратрик (Ivan Fratric) рассказал, что существует способ обхода защиты ACG, в результате чего злоумышленник может загрузить неподписанный код в память устройства. Фактически атака может осуществляться посредством вредоносного сайта, который жертве достаточно просто открыть в браузере Edge.


Дело в том, что современные Just-in-Time (JIT) компиляторы  создают определенные проблемы в работе ACG. Из-за этого разработчики Microsoft были вынуждены сделать JIT-компилятор в Edge отдельным процессом, изолировав его в собственной песочнице. Обнаруженный Фратриком баг связан с тем, как данный JIT-процесс записывает исполняемые данные в контентный процесс.





Исследователь пишет, что уведомил разработчиков Microsoft о проблеме еще в ноябре 2017 года, однако исправления для уязвимости по-прежнему нет. Невзирая на этот факт, специалист выждал положенные 90 дней и обнародовал информацию о баге публично.


Представители Microsoft уже сообщили, что исправление не вошло в состав февральского «вторника обновлений», так как обнаруженная проблема оказалась «более комплексной», чем предполагалось изначально. Теперь выход патча запланировал на следующий месяц, то есть на 13 марта 2018 года.


Стоит отметить, что это далеко не первый случай, когда специалисты Google Project Zero обнародуют информацию о проблемах в ПО Microsoft до релиза исправления. К примеру, в феврале 2017 года все тот же Иван Фратрик опубликовал данные о проблеме CVE-2017-0037, найденной в составе Edge и IE. А еще раньше эксперты Google точно так же сообщили об обнаружении серьезной уязвимости в компоненте Windows GDI (Graphics Device Interface).


Источник новостиgoogle.com

Специалист Google Project Zero раскрыл информацию о баге в браузере Microsoft Edge, который помогает обойти защитный механизм Arbitrary Code Guard (ACG). Эта функциональность появилась еще в апреле 2017 года, с выходом Windows 10 Creators Update, наряду с Code Integrity Guard. Механизм ACG призван не дать потенциальному атакующему загрузить в память машины неподписанный вредоносный код посредством Edge. Более подробное описание этой сравнительно новой защитной функции можно найти в блоге компании. Эксперт Google Project Zero Иван Фратрик (Ivan Fratric) рассказал, что существует способ обхода защиты ACG, в результате чего злоумышленник может загрузить неподписанный код в память устройства. Фактически атака может осуществляться посредством вредоносного сайта, который жертве достаточно просто открыть в браузере Edge. Дело в том, что современные Just-in-Time (JIT) компиляторы создают определенные проблемы в работе ACG. Из-за этого разработчики Microsoft были вынуждены сделать JIT-компилятор в Edge отдельным процессом, изолировав его в собственной песочнице. Обнаруженный Фратриком баг связан с тем, как данный JIT-процесс записывает исполняемые данные в контентный процесс. Исследователь пишет, что уведомил разработчиков Microsoft о проблеме еще в ноябре 2017 года, однако исправления для уязвимости по-прежнему нет. Невзирая на этот факт, специалист выждал положенные 90 дней и обнародовал информацию о баге публично. Представители Microsoft уже сообщили, что исправление не вошло в состав февральского «вторника обновлений», так как обнаруженная проблема оказалась «более комплексной», чем предполагалось изначально. Теперь выход патча запланировал на следующий месяц, то есть на 13 марта 2018 года. Стоит отметить, что это далеко не первый случай, когда специалисты Google Project Zero обнародуют информацию о проблемах в ПО Microsoft до релиза исправления. К примеру, в феврале 2017 года все тот же Иван Фратрик опубликовал данные о проблеме CVE-2017-0037, найденной в составе Edge и IE. А еще раньше эксперты Google точно так же сообщили об обнаружении серьезной уязвимости в компоненте Windows GDI (Graphics Device Interface). Источник новости - google.com

0

Смотрите также

А что там на главной? )))



Комментарии )))