Prodaje se ranjivost Windowsa 8

Francuska tvrtka Vupen otkrila je ranjivost Windowsa 8 i Internet Explorera 10. Poslovna politika Vupena je "neobična": oni se bave otkrivanjem ranjivosti, a svoja otkrića prodaju zainteresiranim kupcima, ne obavještavajući pri tom proizvođače softvera. Tako se exploita mogu dokopati tvrtke koje proizvodne zaštitne uređaje, ili one koje se žele zaštiti od napada nultog dana, da ne spominjemo ostale koji bi ih koristili za neke skrivene ciljeve.

Otkriće je objavljeno na Twitteru porukom: "Our first 0day for Win8+IE10 with HiASLR/AntiROP/DEP & Prot Mode sandbox bypass (Flash not needed)." U prijevodu, to znači da napadač može zaobići sigurnosne mehanizme Windowsa 8, kao što su high-entropy Address Space Layout Randomization (ASLR), anti-Return Oriented Programming i DEP (data execution prevention). Uz to, ne radi se o nedavno otkrivenoj ranjivosti Adobe Flasha.

Nagađa se kolika je tržišna vrijednost otkrića, s obzirom na mali broj računala s instaliranom Osmicom. No još se ne zna da li exploit funkcionira i na starijim verzijama Windowsa. Jody Melbourne, pentester iz tvrtke HackLabs, smatra da bi ranjivost mogli iskoristiti proizvođači softvera za Windowse, kako bi otkrili certifikate kojima je potpisan kod, ili čak i sam izvorni kod Windowsa 8.

Microsoft je izjavio kako ohrabruje istraživače da su uključe u njihov Coordinated Vulnerability Disclosure program, kako bi proizvođač dobio vrijeme i priliku da ispravi pogreške prije objave ranjivosti.

Očigledno je da otkrivanje ranjivosti više nije hakerski hobi i prilika za dokazivanje, već je postalo ozbiljna komercijalna djelatnost.