Google công bố lỗ hổng bảo mật của Windows

Google và Microsoft đang xung đột với nhau trong việc xử lý các lỗi bảo mật hệ thống. Hôm thứ 2 vừa qua, Google tiết lộ một lỗi bảo mật nghiêm trọng trong Windows sau khi hãng đã báo cho Microsoft trước đó 10 ngày, là thời hạn trước khi Google chính thức công bố ra cộng đồng.

Google đăng tải lỗi bảo mật này (zero-day) trên trang bảo mật của hãng, nói rằng Microsoft vẫn chưa tung ra bản sửa lỗi hay có biện pháp nào để khắc phục.

Windows 10 và trình duyệt Chrome có thể không dính lỗi mới mà Google vừa phát hiện.

Google ghi rằng: "Lỗi bảo mật này rất nghiêm trọng bởi vì chúng tôi biết nó sẽ bị kẻ xấu lợi dụng. Lỗ hổng giúp hacker có thể xâm nhập vào nhân kernel của Windows thông qua hàm gọi win32k.sys để vượt mặt bảo mật sandbox".

Theo Google, họ đã báo cho Microsoft biết lỗi này hôm 21/10 nhưng Microsoft không hề đả động gì đến cảnh báo. Google có một chính sách rất chặt, áp dụng cho các nhà sản xuất khác là chỉ vỏn vẹn 7 ngày (thay vì 10 ngày như đối với Microsoft), hoặc là đưa ra bản vá, hoặc là họ sẽ công bố ngay lỗ hổng ra cộng đồng.

Năm 2013, Google từng viết trên blog của họ rằng bảy ngày là khoảng thời gian rất "gắt", quá ngắn ngủi đối với vài nhà sản xuất để họ có thể đưa ra bản cập nhật. Nhưng quãng thời gian này là đủ để đưa ra lời khuyên cho người dùng nên làm gì khi gặp lỗ hổng cụ thể nào đó.

Còn với Microsoft, tuy chưa có động thái vá lỗi nhưng lại quay sang công kích Google, cho rằng việc Google tiết lộ lỗ hổng ra cộng đồng sẽ khiến người dùng gặp nguy hiểm.

Đây không phải là lần đầu tiên hai công ty công nghệ lớn này bất đồng với nhau về bảo mật. Hồi năm 2015, Google tiết lộ các lỗ hổng trong Windows trước khi Microsoft có cơ hội vá chúng. Do đó, đã từ lâu Microsoft than phiền về chuyện này.

Brian Martin, giám đốc bảo mật tại Risk Based Security, cho rằng Microsoft không thể nào đưa ra được bản vá chỉ nội trong 7 ngày. Vá một lỗi trong Windows sẽ liên quan đến những vấn đề trong một số nền tảng khác nhau của hệ điều hành này, và đảm bảo được kết quả vá không ảnh hưởng đến các chương trình khác đang hoạt động của hệ điều hành.

Google cho rằng khi chạy trên Windows 10, trình duyệt Chrome của họ không gặp lỗi này. Sử dụng chính sandbox của riêng mình, trình duyệt Chrome có thể chặn các hàm gọi hệ thống của win32k.sys.