微軟於本周三（10/18）公布了一藏匿在Google Chrome瀏覽器的安全漏洞，編號為CVE-2017-5121為一遠端程式執行（Remote Code Execution，RCE）漏洞，指出強調沙箱安全政策對於Chrome的安全性來(lái)說(shuō)并不足夠，同時(shí)批評Google的修補程序有瑕疵。
外界紛紛將微軟此舉視為是「以其人之道還治其身」的作法。Google的爬蟲(chóng)團隊Project Zero多次公布微軟產(chǎn)品的安全漏洞，其中更有幾次是在微軟尚未修補前公開(kāi)，雙方還曾為此隔空交戰。本月初，Project Zero亦抨擊微軟的修補措施有問(wèn)題，指出微軟經(jīng)常優(yōu)先修補最新作業(yè)系統的安全漏洞，駭客便可藉由程式碼的比對找出舊版Windows中的同樣漏洞并伺機攻擊。
微軟的「反擊」是以自行開(kāi)發(fā)的漏洞檢查工具ExprGen來(lái)檢驗Chrome瀏覽器所使用的V8 JavaScript引擎，發(fā)現了CVE-2017-5121與其他臭蟲(chóng) ，還打造了開(kāi)采CVE-2017-5121漏洞的攻擊程式，并於今年9月14日將它們提交給Google，總計獲得Google所頒發(fā)的15837美元爬漏獎金，其中，光是CVE-2017-5121漏洞的獎金便占了7500美元。Google已於9月中旬釋出的Chrome 61修補了相關(guān)漏洞。
微軟表示，Chrome相關(guān)缺乏RCE的防范機制，意味著(zhù)從記憶體損壞臭蟲(chóng)到遠端執行程式漏洞的路徑可能很短，且於沙箱內的多種安全檢查讓RCE攻擊程式得以繞過(guò)同源政策，以便存取受害者正執行的網(wǎng)路服務(wù)或儲存相關(guān)憑證。
微軟同樣也批評了Google的修補政策，指出Google先將修補程式上傳至GitHub的V8專(zhuān)案，再於3天後修補Chromium專(zhuān)案與Chrome瀏覽器，而這短短的幾天已足以讓駭客取得漏洞資訊、打造開(kāi)采程式并發(fā)動(dòng)攻擊。
盡管多數人都認為微軟是在對Google還以顏色，但雙方在爬漏上的競爭也將替使用者創(chuàng )造更安全的數字環(huán)境。
