XP以降、20年存在していたWindowsの脆弱性をGoogleが発見

[tetsutalow]

これ要するにMSCTFのプロトコルが腐ってる問題っぽいので問題の影響範囲が大きすぎてすぐには解決しないんじゃないかな…

[nkawai]

警告から90日で内容公開って、やっぱりただの暴力だと思う。

[ockeghem]

『なおこの脆弱性については、90日間の猶予をもってMicrosoftへ情報提供が行なわれていたが、解決に至らなかったため、対策が準備できないまま公表されることとなった』

[FukaEnogu]

“なおこの脆弱性については、90日間の猶予をもってMicrosoftへ情報提供が行なわれていたが、解決に至らなかったため、対策が準備できないまま公表されることとなった”もうちょっと待っても良いんじゃない？

[Dragoonriders]

テキストサービスの改修は非常に影響範囲がでかい。90日程度では到底無理な話。Googleは情け容赦ない。マイクロソフトくらい簡単に吹き飛ばせるぞ、ということなのか。

[Chishow]

まだまだこういうの眠ってるんだねぇ　過去に権限的にアクセス不能になってしまったデータとかこういうので取り戻せたりできそうだよね 封印されたビットコイン遺産とか

[Mu_KuP]

早急に対応できなさそうな機能脆弱性っぽいが、これAzureにとっては致命的脆弱性にならんか…？

[kaorun]

あちゃー、IMEはある種特権のあるプロセスだから互換性維持しながら対処するの厳しいかもねぇ。これ、日本人が実装したところでは?

[djshacho]

あれだけ儲けていて何も対策出来ないの？

[gendou]

自分に甘く他人に厳しいスタイル

[daybeforeyesterday]

うーむ

[Coro]

Meltdown/Spectreの時はどこかがリークしちゃったからGoogleも公開したんじゃなかったっけ？

[asdfjkl12345]

こんなん90日の猶予期間での対策無理やろな

[kazkun]

“XP以降、20年存在していたWindowsの脆弱性をGoogleが発見”

[theatrical]

まぁGoogleの90日ルールなんて、当然自分が困るかどうかというクライテリアの下に位置しているので、自分たちが困る脆弱性は90日たっても出さないし、そうじゃなきゃ出すだけって話ですよ。

[gogatsu26]

“ログインすると自動的にCTF monitor service(ctfmon.exe)というサービスを開始する。このサービスが実際にアプリケーションとカーネルとをつなぐのだが、認証やアクセス制限の機能が実装されておらず、攻撃が行なえる”

[jsstudy]

"なおこの脆弱性については、90日間の猶予をもってMicrosoftへ情報提供が行なわれていたが、解決に至らなかったため、対策が準備できないまま公表されることとなった。"　Googleにケツを蹴り上げられるMicrosoftの図

[securecat]

90日ね。。

[hiromark]

だいぶやばいやつじゃん？

[pixmap]

XPは18年前では？

[quick_past]

これはちょっとやそっとじゃ対策できないパターンでは・・・

[II-O]

Google vs MS 場外乱闘始めるの図っぽいね。被害者はユーザーになるんだろうけど。/そんな事よりGoogleは誰得かわからない使えないウェブ検索結果をどうにかしろと。

[pandaporn]

さすがに90日じゃ無理だろと素人のおれでも思う

[TakamoriTarou]

ここまで来ると実装じゃなくて仕様の不具合って感じだな。直接的な解決は難しそうだし、弊害も大きそう。単純に対策する互換性が死んで大変なことになるやつ

[suzukiMY]

https://googleprojectzero.blogspot.com/2019/08/down-rabbit-hole.html

[zoidstown]

〉なおこの脆弱性については、90日間の猶予をもってMicrosoftへ情報提供が行なわれていたが、解決に至らなかったため、対策が準備できないまま公表されることとなった。

[yarumato]

“Text Service Framework(TSF)内にあるMSCTFモジュールは、CTF monitor service(ctfmon.exe)というサービスを開始する。このサービスは認証やアクセス制限の機能が未実装で攻撃可能”

[cl-gaku]

もうちょいうまくコミュニケーション取れないのかよ

[timetrain]

そういうのをクラウドサービス戦争に使わんでくれ・・

[kamei_rio]

"MSCTFは、アプリケーションとカーネルの間でキーボードの入力情報やレイアウトの変更などの情報をまとめてやりとり" は簡単に修正できないけど90日経ったから公開するGoogle〜

[primedesignworks]

うちには MS 製品が何も無い。良かった。

[solidstatesociety]

お金払ってこのレベルだからなぁ

[karkwind]

ひぇ

[ooblog]

#Windows 「脆弱性~XP以降のすべて~Text Service Framework(TSF)~MSCTF~CTF monitor service(ctfmon.exe)~メモ帳~読み書き」

[kuzumaji]

大企業の晒ageかー…えげつないなぁ

[kamiokando]

これって犯罪者にとって有益な情報では？

[btron]

実は解決用のコードをGoogleが持っているけど、金額が合わなかったとか・・。

[ifttt]

これでMicrosoftがAndroidの脆弱性を見つけたらおもしろいんだけどな〜