谷歌零号项目披露了Windows中严重安全漏洞

谷歌 "零号项目 "专门用来发现该公司自己软件以及其他公司软件中的漏洞，并私下向供应商报告，在公开披露前给它们90天时间进行修复。根据所需修复的复杂程度，它有时还会以宽限期的形式提供额外的天数。在过去几年中，在厂商无法及时修补后，谷歌 "零号项目 "安全团队已经披露了多个安全漏洞，包括高通Adreno GPU驱动、微软Windows、苹果macOS等当中存在的漏洞。 现在，它公开披露了Windows中的一个安全漏洞，如果被人利用，会导致权限提升。
 

 

谷歌 "零号项目 "安全人员表示，恶意进程可以向splwow64.exe Windows 进程发送本地过程调用（LPC）消息，攻击者可以通过它向splwow64内存空间中的任意地址写入任意值。这本质上意味着攻击者控制了这个目标地址和任何被复制到该地址的内容。

 

这个漏洞并不完全是新的。事实上，卡巴斯基的一位安全研究人员在今年早些时候就报告了这一问题， 微软 早在6月份就打了补丁。不过，这个补丁现在已经被Google Project Zero的Maddie Stone认定为不完整，他表示，微软的修复只会改变指向偏移量的指针，这意味着攻击者仍然可以使用偏移量值来攻击它。

 

9月24日，Google Project Zero私下向微软报告了零日的情况，标准的90天期限将于12月24日到期。微软最初计划在11月发布修复程序，但该发布时间段随后滑落到12月。之后，它告诉谷歌，它在测试中发现了新的问题，现在它将在2021年1月发布一个补丁。

 

12月8日，双方开会讨论了进展和下一步的计划，其中确定不能向微软提供14天的宽限期，因为该公司计划在2021年1月12日的补丁周二发布补丁，比宽限期多出6天。Project Zero团队计划在明年再次重新审视政策，但已经公开披露了该漏洞与概念验证代码。技术报告还不清楚这影响到哪些版本的Windows，但卡巴斯基几个月前的报告显示，攻击者一直在利用它来攻击新版本的windows10。