谷歌公开微软Windows未打补丁漏洞

谷歌给了微软当头一击，在微软补丁尚未就位之前就披露了Windows漏洞。该漏洞可被攻击者利用来获取管理员权限。

谷歌威胁分析小组两位研究人员发布博客文章表示，披露的原因很简单：他们已经观测到有人在利用该漏洞了，所以，必须做点什么，现在、马上、立刻就做。

该漏洞编号CVE-2016-7855，谷歌是这么描述它的：

Windows内核本地提权漏洞，可被用于安全沙箱逃逸。通过调用win32k.sys系统函数NtSetWindowLongPtr()，来设置GWL_STYLE为WS_CHILD的窗口的索引标识符GWLP_ID，该漏洞可被触发。

Chrome的沙箱能通过 Windows 10 上的Win32k锁定功能，来封锁win32k.sys系统调用，防止该沙箱逃逸漏洞被利用。

Adobe上周就已放出针对该漏洞的补丁——在10月21日Adobe和微软被同时通告了该漏洞之后。因为Flash恶意软件已经数不胜数，Adobe的反应超快。

一方面，谷歌对微软这么一个有着开发大军的巨型公司竟然不能对活跃攻击做出快速反应有多失望，是可以理解的。另一方面，微软补丁笨重缓慢的黑历史也是人尽皆知了。所以，怒催微软快推更新或许不是个好主意。

微软工程师们现在最不缺的，就是在整顿Windows代码的同时，被谷歌死死盯着他们的行动了。

来源：安全牛（http://www.aqniu.com/news-views/20711.html）