Microsoft залатала 0-day на фоне публичного конфликта с исследователем безопасности

Microsoft выпустила очередной крупный пакет обновлений безопасности, закрыв около 200 уязвимостей. Среди них — 0-day, раскрытый независимым исследователем под псевдонимом Nightmare Eclipse, с которым у компании разгорелся публичный конфликт. Два из исправленных дефектов подтверждены как активно эксплуатируемые уязвимости нулевого дня.

Регрессия шестилетней давности и незакрытые бреши

Одна из исправленных уязвимостей — MiniPlasma — оказалась повторным появлением старой проблемы. Microsoft идентифицировала её как CVE-2020-17103, которую компания впервые устранила ещё шесть лет назад. Это означает, что либо первоначальный патч был неполным, либо произошла регрессия — баг вернулся в результате последующих изменений в коде. Компания уже обновляет официальный бюллетень, чтобы отразить повторную публикацию исправления.

Однако не все уязвимости, раскрытые Nightmare Eclipse, получили патчи. Для YellowKey — дефекта, позволяющего обойти полнодисковое шифрование BitLocker, — Microsoft пока ограничилась лишь инструкцией по ручному снижению рисков. Примечательно, что именно сценарий физического доступа к устройству является тем самым случаем, от которого BitLocker и призван защищать. Корневая причина уязвимости так и не устранена.

Статус других уязвимостей, раскрытых тем же исследователем, остаётся неопределённым. Среди них — дефект в Windows Defender, получивший название RedSun, и BlueHammer — ещё одна локальная уязвимость повышения привилегий до уровня SYSTEM. В день выхода патчей Nightmare Eclipse опубликовал эксплойт для новой уязвимости в Defender: на этот раз речь идёт о состоянии гонки (race condition).

Публичная перепалка и угроза судом

Конфликт между Microsoft и Nightmare Eclipse развивался на протяжении нескольких месяцев. Исследователь последовательно критиковал компанию — судя по всему, претензии касались работы программы раскрытия уязвимостей, хотя конкретные детали разногласий публично не раскрывались.

Microsoft в ответ публично обвинила Nightmare Eclipse в «безответственном» раскрытии информации. Компания также допустила завуалированный намёк на возможность судебного преследования исследователя. Это вызвало волну критики со стороны сообщества специалистов по информационной безопасности.

Под давлением публичного резонанса Microsoft отступила и заявила, что никаких судебных действий не последует. Тем не менее напряжённость между сторонами сохраняется: исследователь продолжает публиковать новые эксплойты, не дожидаясь, пока вендор выпустит исправления.

Что это значит для практики безопасности

История с Nightmare Eclipse обнажает системное противоречие в индустрии кибербезопасности. Крупные вендоры, как правило, настаивают на так называемом «ответственном раскрытии» — когда исследователь сначала уведомляет компанию и даёт ей время на патч, и лишь затем публикует детали. Однако когда вендор затягивает исправление или, по мнению исследователя, игнорирует проблему, тот нередко переходит к полному публичному раскрытию.

Для белорусских IT-компаний и специалистов по безопасности ситуация имеет практическое измерение. Уязвимость в BitLocker актуальна для любой организации, использующей шифрование дисков на Windows-устройствах как основной инструмент защиты корпоративных данных. До выхода полноценного патча ручные меры снижения рисков, рекомендованные Microsoft, — не опция, а необходимость.

Отдельного внимания заслуживает и сам прецедент: угроза судебным преследованием в адрес независимого исследователя безопасности — даже отозванная — создаёт токсичный сигнал для всего сообщества. Специалисты, которые находят уязвимости и сообщают о них, де-факто выполняют работу, которую вендоры не успевают или не хотят делать самостоятельно. Когда за это начинают угрожать судом, часть исследователей просто перестаёт сообщать о находках вообще — что в итоге делает всех менее защищёнными.

— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business.