谷歌再曝Windows 8.1漏洞，微軟真的怒了

在微軟還未來得及發布漏洞補丁時，谷歌 Project Zero 小組再次公布了 Windows 8.1 系統的又一新漏洞，該漏洞可導致權限提升。谷歌一系列的漏洞公布惹怒了微軟。

谷歌拒絕延期

短短幾周，這已經是谷歌精英團隊公布的有關 Windows 8.1 系統的第二個漏洞了。根據谷歌的漏洞公布策略，谷歌是在等待了 90 天之后才公布了此漏洞的細節信息。不過令人好奇的是，在去年 11 月份，微軟請求谷歌推遲漏洞公布日期，理由是他們打算在 2015 年 2 月份修復該漏洞。

但是，谷歌拒絕了微軟的請求，理由是這不符合他們的漏洞公布策略。于是微軟決定在 2015 年 1 月修復該漏洞，但谷歌仍舊拒絕推遲該漏洞的公布，即使推遲 2 天也不行。

關于 Windows 漏洞

谷歌安全研究人員確認該漏洞同樣影響 Windows 7 系統，并提供了一個 POC（概念驗證），來展示如何利用該漏洞對 Windows 8.1 系統進行攻擊。谷歌報告中說：

“當用戶登錄到計算機時，系統會調用用戶配置文件服務來創建特定的目錄并掛載用戶注冊表 Hive 文件（普通賬戶沒有該權限）。在理論上，除了加載 Hive 文件之外，特權賬戶需要做的唯一事情就是創建基礎配置文件目錄。這應該是安全的，因為在C:\目錄下創建文件需要管理員權限才可以。配置文件存放在注冊表 中 HKLM 路徑下，所以不會受到影響。然而，在針對冒充情況的處理方式中似乎存在缺陷，配置文件路徑中的最初幾個資源文件是在用戶令牌下創建的，但這種處理方式使得 其能夠成功地冒充本地系統文件。任何冒充本地系統而被創建的資源文件都可能被用來進行權限提升。需要注意的是，它并不是只發生在初始化本地配置文件時，而 是在用戶每次登錄他們的賬戶時都會發生。”

微軟：這是對用戶的不負責任

微軟公開批評了谷歌的漏洞公布政策。

微軟安全響應中心高級主管 Chris Betz 在博文中說“谷歌完全沒必要公布該漏洞的細節，因為微軟已經計劃在 2015 年 1 月 13 日發布系統更新。這是對用戶的不負責任。與其說漏洞公開策略谷歌公司的原則，但更像是一個錯誤，一個最終讓用戶受害的錯誤。谷歌認為正確的事對客戶來說并不一定正確。”