Microsoft 2 года откладывала исправление 0Day-уязвимости в Windows

На минувшей неделе компания Microsoft выпустила пакет плановых обновлений безопасности, исправляющих более сотни уязвимостей в 13 продуктах, в том числе две уязвимости нулевого дня в ОС Windows (CVE-2020-1464) и браузере Internet Explorer 11 (CVE-2020-1380), активно эксплуатируемых злоумышленниками. Что интересно, несмотря на активные атаки, техногигант исправил CVE-2020-1464 только спустя два года после того, как о ней стало известно.

CVE-2020-1464 существует в связи с некорректной проверкой Windows подписи файлов, что позволяет обойти функции безопасности и загрузить некорректно подписанные файлы. Уязвимость затрагивает версии Windows 7, Windows 10, Windows 8.1, Windows Server 2008, 2012, 2016, 2019.

В описании уязвимости Microsoft упомянула лишь о ее активной эксплуатации, но не привела подробности. В действительности, эксперты в области ИБ заметили использование CVE-2020-1464 в атаках еще в августе 2018 года, за 18 месяцев исследователи неоднократно предупреждали компанию о проблеме. К примеру, в январе прошлого года сотрудник VirusTotal Бернардо Кинтеро (Bernardo Quintero) опубликовал подробности об уязвимости, однако Microsoft решила не исправлять ее, хотя и признала наличие проблемы.

В минувшие выходные специалисты Zengo и SafeBreach Labs опубликовали пост, в котором указали на загруженный на VirusTotal в августе 2018 года файл, эксплуатирующий уязвимость подмены (GlueBall). Недавняя проверка на VirusTotal показала, что данный файл детектируется 28 (из 59) антивирусами как вредоносный Java-троян.

«Всем было ясно, в том числе Microsoft, что GlueBall действительно настоящая уязвимость, эксплуатируемая в атаках, поэтому непонятно, почему она была исправлена только сейчас, а не два года назад», - отметил основатель Zengo Тал Беери.

На запрос журналиста Брайана Кребса прокомментировать ситуацию, Microsoft уклонилась от ответа, отметив лишь, что пользователи, установившие обновления, защищены от атак.