Google ignora pedidos da Microsoft e publica 3ª falha do Windows em um mês

O Google ignorou os pedidos da Microsoft por prazos mais flexíveis para a divulgação de vulnerabilidades e liberou detalhes de mais uma falha sem solução do Windows, que deve deixar os usuários expostos pelos próximos 25 dias.

A nova vulnerabilidade, que foi confirmada no Windows 7 e 8.1, pode constituir uma alternativa ao recurso de segurança pela maneira como as aplicações podem criptografar suas memórias para que os dados possam ser trocados entre os processos sendo rodados na sessão com o mesmo logon.


“O problema é que a implementação em CNG.sys não verifica o nível de personificação do token ao capturar a sessão de logon ID (usando SeQueryAuthenticationIdToken) para que um usuário normal possa personificar em nível de identificação e criptografar ou descriptografar os dados para essa sessão de logon”, afirmaram os pesquisadores do Google Project Zero em uma descrição da falha.

Segundo o Project Zero, a Microsoft foi notificada sobre a vulnerabilidade em 17 de outubro de 2014 e inicialmente planejava liberar uma solução na sua Patch Tuesday de janeiro, que foi liberada há alguns dias. No entanto, o patch precisou ser adiado por problemas de compatibilidade.
Leia mais em: IDGNOW!