摘要：谷歌的Project Zero項(xiàng)目一向以“90天期限”著名，曾經(jīng)成功地在微軟未發(fā)布補(bǔ)丁之前公開(kāi)Windows系統(tǒng)的漏洞細(xì)節(jié)和演示代碼。但這一次，輪到別人出手了。安全研究機(jī)構(gòu)近日披露Google App Engine的漏洞細(xì)節(jié)，同樣也公布了具體的攻擊演示手法。安全機(jī)構(gòu)在三個(gè)星期以前向谷歌提交了這7個(gè)漏洞，但未收到谷歌的任何回復(fù)。
根據(jù)該安全人員的研究，Google App Engine的漏洞允許完整Java VM沙箱逃脫。如果實(shí)現(xiàn)了轉(zhuǎn)義，則可以取得系統(tǒng)的完整控制權(quán)限，包括任意代執(zhí)行。但谷歌并未就安全人員發(fā)現(xiàn)的問(wèn)題做出任何回復(fù)，并不承認(rèn)或否認(rèn)漏洞的存在。由于在三個(gè)星期后未得到谷歌的任何回復(fù)，安全人員選擇了公開(kāi)漏洞。
外媒就此聯(lián)系了谷歌，谷歌回復(fù)稱，一位研究員最近報(bào)告了一個(gè)已知的安全問(wèn)題，影響Google App Engine的安全層。我們正在嘗試減輕危害，目前用戶不需要采取任何行動(dòng)。
值得注意的是，去年的12月，安全機(jī)構(gòu)向谷歌提交了Google App Engine的漏洞，然而，在過(guò)去了6個(gè)月之久后，還有5個(gè)漏洞沒(méi)有被修復(fù)。
京公網(wǎng)安備 11010502049343號(hào)