谷歌公布 Windows 10 提权漏洞详情

谷歌零项目的研究人员将寻找各种系统和软件中的错误。开发人员在发现漏洞后将有 90 天的时间修复漏洞。

如果这些漏洞的细节在规定的时间内没有得到修复，细节将被公开。当然，开发者也可以根据情况联系谷歌寻求宽限期等。

谷歌多次披露微软未修复的安全漏洞。例如，谷歌现在正在披露 Windows 10 中未修复的安全漏洞。有趣的是，微软仍在努力解决这个漏洞是否重要是否需要修复。

根据谷歌的描述，Windows 过滤平台(WFP)的某些默认规则允许可执行文件，这些文件可以连接到 App Container 的 TCP 套接字。

因此，攻击者可以利用一定的规则匹配容器套接字来注入恶意代码。谷歌认为微软不应该自动匹配某些容器规则。

这实质上是对规则的滥用。谷歌将该漏洞评为低级。谷歌于 7 月 8 日私下向微软报告，希望修复该漏洞。后来，微软联系谷歌请求宽限期，因为该漏洞太复杂，无法修复，需要时间。

然后，7月19日，微软突然表示公司根本不会解决这个问题，因为如果要利用该漏洞，容器需要暴露在公网上。

谷歌研究人员考虑了微软所说的话。虽然该漏洞确实可以访问内部地址，但它确实需要暴露在公共互联网上才能被利用。

8 月 18 日，也就是昨天，微软突然联系谷歌，表示公司将修复该漏洞。微软没有详细说明，但似乎应该修复该漏洞。

从 7 月份开始，只有一个多月没有达到三个月的披露期，但谷歌已经提前披露了这个漏洞的所有细节。

当然，好消息是这个漏洞的评级仍然是低风险，所以应该不会造成太多的安全问题。估计微软会在下个月修复这个漏洞。