0-day уязвимость в IE столкнула Microsoft и Google

0-day уязвимость в IE столкнула Microsoft и Google

На днях исследователь в области безопасности компании Google опубликовал в сети свою разработку, предназначенную для тестирования обозревателей на наличие уязвимостей, чем вызвал негодование в компании Microsoft.

Исследователь в области безопасности Google Михал Залевки, опубликовал свою утилиту cross_fuzz, с помощью которой он идентифицировал более 100 критических ошибок в веб-браузере Internet Explorer, в том числе уже известную, но еще незакрытую уязвимость. Напомним, что ошибка заключается в некорректном срабатывании компоненты mshtml.dll, которая может привести к сбою работы целевой системы.

В июле прошлого года, г-н Залевски, отправив программу в Microsoft, сообщил, что намерен опубликовать ее в январе этого года.

Однако, из-за досадного недоразумения, ему пришлось сделать это немного раньше.

Дело в том, что все файлы программы и результаты тестов упомянутой ошибки хранились на сервере. Но, файлы, случайно, были проиндексированы поисковой машиной Google, в результате чего попали в глобальную сеть. Первого января, он обнаружил, что доступ к ним получили лица, использующие китайские IP адреса, о чем известил Microsoft. Стоит заметить, что последние, после того как стало об уязвмимости, просили разработчика не публиковать програму до выхода обновления для обозревателя.

Помимо Internet Explorer, утилита способна определять наличие критических ошибок и в других веб-брузерах, например Opera и Firefox. Об этом разработчк упомянул в своем обращении к компании, сообщив, что подобные уязвимости, найденные в упомянутых приложениях, давно были устранены.

В Microsoft же полагают, что ошибка в IE не сопоставима с уязвимостями в других обозревателях, так как использовалась старая версия утилиты. Кроме того, случаев эксплуатации этой ошибки выявлено не было, да и жалоб от пользователей не поступало. Однако работы по устранению ошибки ведутся и патч планируется выпустить 11 января.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Google начнёт скрывать Android-приложения, сильно разряжающие батарею

Google начнёт принимать меры против Android-приложений в Google Play, которые слишком активно работают в фоне и заметно разряжают аккумулятор. Если приложение превысит установленный порог «плохого поведения», оно может получить специальную пометку в магазине и потерять видимость в рекомендациях.

У разработчиков есть время до 1 марта 2026 года, чтобы привести свой софт в порядок. Именно к этому сроку вступит в силу новый ключевой показатель Android Vitals — метрика «избыточные частичные wake lock».

Она фиксирует, сколько времени приложение удерживает устройство от перехода в режим сна, когда экран выключен.

Google тестировала этот алгоритм с апреля, специалисты Samsung также были привлечены к разработке. Корпорация обещает целую серию метрик, призванных дать разработчикам более глубокое понимание того, как их приложения расходуют ресурсы.

Что именно будут измерять:

  • частичные wake lock, поддерживающие активность устройства при выключенном экране;
  • суммарное время таких блокировок в рамках одной пользовательской сессии;
  • общую статистику за 28 дней.

Подсчёт ведётся только для не связанных с системой wake lock, не относящихся к аудиовоспроизведению или явно инициированным действиям пользователя.

Нарушением считается ситуация, когда приложение удерживает устройство более двух часов в течение 24 часов в рамках одной пользовательской сессии. Если такое происходит более чем в 5% сессий за 28 дней, приложение попадает в зону риска.

В этом случае Google предупредит разработчика через Android Vitals и может пометить приложение как «быстро разряжающее батарею», что снизит его видимость в Google Play Store.

 

Google подчёркивает: цель метрики — улучшить качество приложений и повысить энергоэффективность смартфонов. Это не инструмент против шпионского софта или вредоносных приложений, хотя такие угрозы действительно нередко используют wake lock для постоянной передачи данных.

«Первостепенная задача — повысить качество работы приложений и улучшить пользовательский опыт», — пояснили в компании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru