微軟於本周三（10/18）公布了一藏匿在Google Chrome瀏覽器的安全漏洞，編號為CVE-2017-5121為一遠(yuǎn)端程式執(zhí)行（Remote Code Execution，RCE）漏洞，指出強(qiáng)調(diào)沙箱安全政策對於Chrome的安全性來說并不足夠，同時批評Google的修補程序有瑕疵。
外界紛紛將微軟此舉視為是「以其人之道還治其身」的作法。Google的爬蟲團(tuán)隊Project Zero多次公布微軟產(chǎn)品的安全漏洞，其中更有幾次是在微軟尚未修補前公開，雙方還曾為此隔空交戰(zhàn)。本月初，Project Zero亦抨擊微軟的修補措施有問題，指出微軟經(jīng)常優(yōu)先修補最新作業(yè)系統(tǒng)的安全漏洞，駭客便可藉由程式碼的比對找出舊版Windows中的同樣漏洞并伺機(jī)攻擊。
微軟的「反擊」是以自行開發(fā)的漏洞檢查工具ExprGen來檢驗Chrome瀏覽器所使用的V8 JavaScript引擎，發(fā)現(xiàn)了CVE-2017-5121與其他臭蟲 ，還打造了開采CVE-2017-5121漏洞的攻擊程式，并於今年9月14日將它們提交給Google，總計獲得Google所頒發(fā)的15837美元爬漏獎金，其中，光是CVE-2017-5121漏洞的獎金便占了7500美元。Google已於9月中旬釋出的Chrome 61修補了相關(guān)漏洞。
微軟表示，Chrome相關(guān)缺乏RCE的防范機(jī)制，意味著從記憶體損壞臭蟲到遠(yuǎn)端執(zhí)行程式漏洞的路徑可能很短，且於沙箱內(nèi)的多種安全檢查讓RCE攻擊程式得以繞過同源政策，以便存取受害者正執(zhí)行的網(wǎng)路服務(wù)或儲存相關(guān)憑證。
微軟同樣也批評了Google的修補政策，指出Google先將修補程式上傳至GitHub的V8專案，再於3天後修補Chromium專案與Chrome瀏覽器，而這短短的幾天已足以讓駭客取得漏洞資訊、打造開采程式并發(fā)動攻擊。
盡管多數(shù)人都認(rèn)為微軟是在對Google還以顏色，但雙方在爬漏上的競爭也將替使用者創(chuàng)造更安全的數(shù)字環(huán)境。
