Microsoft vs Core Security - spór o dziurę w wirtualnym Windows
18 marca 2010 15:56
securitystandard
Specjaliści z firmy Core Security twierdzą, że w oprogramowaniu Microsoftu jest luka, umożliwiająca włamywanie się do systemów Windows uruchomionych w wirtualnych maszynach. Koncern z Redmond nie zamierza jednak przygotować łaty, ponieważ jego zdaniem żadnego błędu nie ma.
Przedstawiciele Core Security oficjalnie poinformowali o wykryciu owego błędu przedwczoraj. Zwlekali z tym siedem miesięcy - lukę znaleźli we wrześniu ubiegłego roku i wtedy też powiadomili o niej pracowników Microsoftu. Ale koncern do dziś nie rozwiązał problemu i wygląda na to, że na razie nie zamierza tego robić.
"Microsoft nie uważa tego problemu za lukę w zabezpieczeniach - ich zdaniem żadna poprawka nie jest w tej chwili potrzebna. Powiedzieli nam, że być może zrobią coś z tą usterką w jakimś kolejnym service packu. Naszym zdaniem to poważny błąd - tę lukę należy usunąć jak najszybciej" - mówi Ivan Arce, szef działu technicznego Core Security.
Microsoft faktycznie przyznał, że nie traktuje problemu z oprogramowaniem Virtual PC, Virtual PC 2007 oraz Virtual Server 2005 jako błędu w zabezpieczeniach -
"Funkcja, o której mówią przedstawiciele Core, to nie jest błąd jako taki. Oni opisali po prostu pewną teoretyczną metodę ataku, w którym musi zostać wykorzystany jakiś inny błąd w zabezpieczeniach - to raczej pewien sposób wykorzystania innych błędów, niż luka jako taka. Zdaje sobie sprawę z tego, że na pierwszy rzut oka różnica jest dość subtelna - ale właściwe rozróżnienie tych dwóch spraw jest bardzo ważne" - komentuje Paul Cooke, jeden z dyrektorów działu odpowiedzialnego za bezpieczeństwo produktów Microsoftu.
Opisany przez Core Security błąd umożliwia "napastnikowi" ominięcie kilku podstawowych dla bezpieczeństwa systemu Windows technologii zabezpieczających - chodzi tu m.in. o DEP (data execution prevention) oraz ASRL (address space layout randomization). To z kolei może pozwolić na skuteczne wykorzystanie jakiejś luki w oprogramowaniu (która normalnie nie byłaby groźna, ponieważ DEP lub ASRL blokowałyby wszelkie próby użycia jej do zaatakowania Windows). Co ważne - metoda opisana przez specjalistów z Core Security jest skuteczna wyłącznie w przypadku systemu uruchomionego w wirtualnej maszynie - Okna zainstalowane na zwykłym komputerze nie są podatne na taki atak. Błąd nie występuje również w oprogramowaniu wirtualizacyjnym Microsoft Hyper-V (wprowadzonym w Windows Server 2008).
Ivan Arce przyznaje, że przedwczorajsze opublikowanie exploita i szczegółowego opisu problemu było próbą wywarcia nacisku na Microsoft - specjaliści chcieli w ten sposób zmusić firmę do szybkiego przygotowania poprawki. Jak widać, plan spalił na panewce - koncern z Redmond łaty przygotować nie zamierza. W każdym razie nie w najbliższym czasie.
Microsoft przyznaje, że wirtualne systemy faktycznie mogą być bardziej narażone na ataki niż te zainstalowane na fizycznej maszynie - koncern potwierdził też, że dotyczy to m.in. Windows XP uruchomionego w ramach tzw. Trybu XP w Windows 7 (dzięki tej funkcji w nowym systemie można bez większych problemów uruchamiać stare aplikacje). Ale przedstawiciele firmy zastrzegają, że ryzyko jest niewielkie - nawet jeśli atak zakończy się powodzeniem, to napastnik i tak uzyska dostęp tylko do zasobów Windows działającego w maszynie wirtualnej - system, w którym ta maszyna będzie uruchomiona, przez cały czas będzie bezpieczny.
Komentarze
Redakcja NetWorld nie ponosi odpowiedzialności za wypowiedzi Internautów opublikowane na stronach serwisu oraz zastrzega sobie prawo do redagowania, skracania bądź usuwania komentarzy zawierających treści zabronione przez prawo, uznawane za obraźliwie lub naruszające zasady współżycia społecznego. Osoby zamieszczające wypowiedzi naruszające prawo lub prawem chronione dobra osób trzecich mogą ponieść z tego tytułu odpowiedzialność karną lub cywilną.
- ocena:
brak oceny
- IP: 85.128.36.194
- 18-03-2010, 16:16
gdyby MS działął pod publiczkę domorosłych znawców (jak FX i wielu innych z open sorce) to codziennie wypuszczałby kilkanaście poprawek - co za różnica, prawda domorośli?
- ocena:
brak oceny
- IP: 79.191.242.45
- 18-03-2010, 16:20
Ta... To nie błąd - to funkcjonalność ;)
wydrukuj
wyślij do znajomego