En feide som stadig produserer uløste Windows-feil
En langvarig konflikt mellom Microsoft og en sikkerhetsforsker kjent under aliaset Nightmare Eclipse har nådd en ny milepæl, og det er ikke en god en for Windows-brukere. Kort tid etter Microsofts siste oppdateringstirsdag publiserte forskeren en niende nulldagsutnyttelse som påvirker Windows, noe som betyr at det nå finnes offentlig tilgjengelig angrepskode for et sikkerhetshull som Microsoft ennå ikke har fikset. For alle som kjører Windows, er en slik Windows-nulldagssårbarhet viktig fordi den potensielt kan brukes av angripere før en offisiell oppdatering finnes.
Det som gjør denne saken uvanlig, er ikke selve sårbarheten, men mønsteret. Dette er den niende utnyttelsen forskeren har sluppet i det som ser ut til å være en pågående fastlåst konflikt, noe som tyder på et sammenbrudd i den normale dialogen mellom sikkerhetsforskere og leverandørene hvis produkter de tester.
Slik eskalerte konflikten med Microsoft
Ifølge rapporter om konflikten ser Nightmare Eclipse ut til å mene at Microsoft ikke har tatt sårbarhetsrapportene deres alvorlig nok gjennom selskapets standard rapporteringskanaler. I stedet for å fortsette å vente på at Microsofts sikkerhetsprosess skal handle, har forskeren valgt å offentliggjøre konseptbevis-kode, og timet denne siste utgivelsen til rett etter Microsofts faste månedlige oppdateringssyklus.
Denne tilnærmingen bryter med bransjenormen for koordinert offentliggjøring, der en forsker rapporterer et sikkerhetshull privat til en leverandør og samtykker i å holde offentlige detaljer tilbake til en rettelse er klar. Når den tilliten brytes, slik det ser ut til å ha skjedd her, blir resultatet akkurat det som skjer nå: fungerende angrepskode som sirkulerer offentlig før Microsoft har sendt ut en oppdatering. Hver nye utgivelse i denne serien legger press på Microsofts sikkerhetsteam samtidig som den gir potensielle angripere et forsprang.
Ifølge rapporter har ordvekslingen blitt så spent at den har vakt oppmerksomhet i hele sikkerhetsmiljøet, der det underliggende spørsmålet er om Microsofts håndtering av forskerens rapporter, eller mangel på tilfredsstillende respons, delvis har presset situasjonen til dette punktet. Uansett hvem som har mest skyld, er det praktiske utfallet for vanlige brukere det samme: enda et uløst sikkerhetshull med offentlig angrepskode tilknyttet.
Hvorfor gjentatte nulldagsutgivelser er verre enn enkeltstående sårbarheter
Én uløst sårbarhet er allerede en reell bekymring, men en rekke på ni peker mot noe mer strukturelt. Det antyder at prosessen for vurdering eller prioritering mellom forskere og Microsofts sikkerhetsresponsteam ikke fungerer smidig i dette konkrete tilfellet. For brukere betyr det at Windows-maskiner kan bli utsatt for flere potensielle angrepsveier samtidig, i stedet for å stå overfor ett problem som blir løst før det neste dukker opp.
Det øker også innsatsen for Microsofts månedlige oppdateringskadens. Oppdateringstirsdag eksisterer for at IT-team og forbrukere kan planlegge oppdateringer etter en forutsigbar tidsplan. Når nulldagsutnyttelser slippes rett etter denne syklusen, må forsvarere vente i uker på neste offisielle rettelsesvindu, med mindre Microsoft velger å gi ut en nødoppdatering utenom syklusen. Denne venteperioden er nettopp når opportunistiske angripere har en tendens til å handle raskest.
Hva dette betyr for deg
Hvis du bruker Windows, trenger du ikke få panikk av dette, men det krever årvåkenhet. Nulldagsutnyttelser er farligst i perioden før en oppdatering finnes, og det er nettopp den perioden som er åpen nå for denne niende sårbarheten. Den mest effektive responsen er den samme som alltid gjelder under aktive nulldagssituasjoner: hold automatiske oppdateringer aktivert slik at du mottar Microsofts rettelse så snart den blir tilgjengelig, og unngå å utsette sikkerhetsoppdateringer når de først kommer, selv om det betyr en omstart på et upraktisk tidspunkt.
Det er også verdt å huske at offentlig nulldagsutnyttelseskode ikke automatisk betyr at alle Windows-brukere blir aktivt angrepet. Angripere trenger fortsatt en brukbar vei inn til et sårbart system, og derfor er grunnleggende sikkerhetsrutiner, varsom håndtering av uventede e-postvedlegg og lenker, og drift av et system med begrenset unødvendig eksponering mot internett, fortsatt verdifullt selv mot nulldagssårbarheter.
Holde seg i forkant av en uløst situasjon
Konflikten mellom Microsoft og Nightmare Eclipse ser ikke ut til å være over, og ytterligere offentliggjøringer er sannsynlige hvis den underliggende uenigheten ikke løses. For øyeblikket er den praktiske lærdommen for Windows-brukere grei: behandle denne Windows-nulldagssårbarheten på samme måte som du ville håndtert ethvert uløst, offentlig kjent sikkerhetshull. Sjekk at systemet ditt er innstilt til å installere oppdateringer automatisk, se etter Microsofts offisielle veiledning eller en nødoppdatering, og vær forsiktig med ukjente lenker og filer inntil en rettelse er bekreftet installert på enheten din. Å holde seg oppdatert med oppdateringer forblir det enkleste og mest pålitelige forsvaret mens denne konflikten fortsetter å utspille seg.
