Google revela outra falha sem correção do Windows e irrita Microsoft

O Google divulgou detalhes de outra falha sem solução do Windows 8.1, a segunda em um mês, o que provocou críticas por parte da Microsoft.

A empresa de Redmond não está feliz com o prazo de 90 dias para revelação pública dado pela equipe de pesquisas em segurança do Google, conhecida como Project Zero. Os membros da iniciativa costumam encontrar vulnerabilidades em produtos de outras empresas – elas são informadas aos fabricantes e, caso não sejam corrigidas em 90 dias, o Google automaticamente torna o problema público.

Recentemente, a equipe do Google revelou uma falha de elevação de privilégio (EoP) que afetava o Windows 8.1, e que a Microsoft ainda não tinha corrigido. A vulnerabilidade tinha sido reportada para a Microsoft no dia 30 de setembro, por isso o prazo de 90 dias já tinha expirado, conforme o Google informou na época.

No último domingo, 11 de janeiro, os pesquisadores da Project Zero revelaram mais uma falha de elevação de privilégio no Windows 8.1, que tinha sido informada para a Microsoft em 13 de outubro.

Agora, a revelação do Google irritou a Microsoft, que planejava liberar uma solução hoje para o problema. A empresa de Redmond costuma liberar patches de segurança na segunda terça-feira de todo mês, processo que ficou conhecido como Patch Tuesday no mercado.

Uma falha de elevação de privilégio pode ser explorada para conseguir privilégio de administrador em um sistema a partir de uma conta de baixo privilégio. Não são vulnerabilidades críticas, como as que permitem a execução arbitrária de código, mas podem tornar essas falhas ainda mais perigosas e devem ser solucionadas.

“Nós pedimos ao Google para trabalhar conosco para proteger os usuários ao segurar os detalhes até terça-feira, 13 de janeiro, quando vamos liberar a correção”, afirmou o diretor sênior do Security Response Center da Microsoft, Chris Betz.

O post sobre essa vulnerabilidade no tracker da equipe de pesquisas do Google confirma que foi negada uma extensão do prazo para a Microsoft. “A Microsoft foi informada que o deadline de 90 dias é determinado para todos os fabricantes e tipos de bugs e, por isso, não pode ser estendido”, afirma. “Além disso, eles foram avisados que o deadline de 90 dias dessa falha expirava em 11 de janeiro de 2015”.

Com informações de Computerworld