Google revela falha no Microsoft Edge antes de correção ser lançada

Lá vamos nós de novo. O Google tem um projeto de segurança para encontrar vulnerabilidades de software e avisar os responsáveis. Se uma correção não for liberada em 90 dias, a falha é divulgada publicamente. E, mais uma vez, a Microsoft estourou o prazo.

Como explica o Neowin, o navegador Edge tem uma falha de segurança de nível “médio”, em um recurso criado para mitigar a execução de código arbitrário.

Trata-se do ACG (Arbitrary Code Guard), disponível desde o Windows 10 Creators Update. Basicamente, o Edge tem um processo separado para compilar JavaScript em código nativo e reservar espaço na memória.

O processo roda de forma isolada em uma sandbox, mas segundo o Google, é possível quebrar essa proteção e injetar código executável — e potencialmente malicioso — na memória.

O Google deu o aviso à Microsoft em novembro de 2017. A empresa disse que não conseguiria resolver a falha em 90 dias, por ser mais complexa do que o esperado, então o prazo foi ampliado em mais 14 dias, como é de praxe.

Ainda assim, a Microsoft estourou o prazo, e o Google divulgou a falha. Ela diz que a correção será disponibilizada só em 13 de março, com o Patch Tuesday.

Fonte: Tecnoblog