Google казва, че служител на Apple е открил Day Zero, но не е докладвал за това

Google идентифицира нула дни в Chrome, открити от служител на Apple, Според коментарите в официалния доклад за грешка. Въпреки че самата грешка не заслужава новини, обстоятелствата на това как тази грешка е била открита и докладвана на Google са най-малкото странни.

Според служител на GoogleГрешката първоначално е открита от служител на Apple, който участва в хакерското състезание Capture The Flag (CTF) през март. Но този служител на Apple не е докладвал за грешката, която тогава е била нула – което означава, че Google не е знаел за грешката и все още не е пусната корекция. Вместо това бъгът е докладван от друг човек, който също е участвал в състезанието, който не е намерил бъга сам и дори не е бил в екипа, открил бъга.

„Този ​​проблем беше докладван от sisu от екипа на CTF HXP и беше открит от член на Apple Security Engineering and Architecture (SEAR) по време на HXP CTF 2022“, пише служителят на Google.

След като тази история беше публикувана за първи път, TechCrunch видя канал на Discord, където някой, който твърди, че е служителят на Apple, който първоначално е открил Zero-Day, обяснява своята страна на историята, по-специално защо грешката не е докладвана веднага, в отговор на Сису, лицето, което докладва грешката на Google.

„Отне ми две седмици да работя върху него на пълен работен ден, докато стигна до дъното на причината“, пише той [the] експлоатирайте [Proof of Concept] И запишете проблема, за да може да бъде решен“, написа човекът, който отиде до Галилео на 6 юли.

Беше докладвано на 5 юни от моята компания. Да, беше късно и има много причини за това. Първо трябваше да намеря отговорника, докладът трябваше да бъде подписан от хора и след това отговорникът беше OOO. Похвално е, че chrome реши да го поправи възможно най-скоро, но мисля, че нямаше истинска спешност. Само вие и моят екип бяхте наясно с това и проблемът вероятно нямаше да е много в сценарий от реалния свят (не работи на Android, това е много видимо, защото замразява GUI на Chrome за няколко секунди), пише Галилео.

Историята продължава

Галилео и Чесо не отговориха на искане за коментар.

Apple не отговори на искане за коментар.

Говорителят на Google Ед Фернандес каза на TechCrunch в имейл, че „нашето обществено разбиране е погрешно“.

„Препоръчваме да се свържете с Apple за повече подробности“, пише Фернандес.

Не е необичайно CTF отборите и CTF играчите да намерят нулеви дни по време на състезания, особено в предизвикателства от такова естество и състезания с „висок профил“, според Филипо Кремонезе, изследовател, участващ в CTF състезания с италианския отбор. макароникоето между другото може да е най-доброто име на пиратски отбор досега.

Това, което прави историята на този бъг интересна е, че той очевидно е бил открит от служител на Apple в продукт на Google и по някаква причина служителят на Apple е решил да не докладва за бъга.

в оригиналния доклад На 26 март лицето, което съобщи за грешката, каза, че грешката е открита от някой от екипа на COPY по време на CTF Организирано от екипа HXP. Човекът, чието име не беше разкрито в доклада, каза, че са решили да докладват, дори ако не са го намерили сами, защото „не са били 100% сигурни, че е докладвано на екипа на Chromium“.

„Исках да съм в безопасност“, пише човекът.

„Тъй като вие сте този, който разкрива този проблем и няма дубликати, изглежда, че екипът, който е открил този проблем, е избрал да не ни го разкрива?“ написа служител на Google в друг коментар за доклада за грешка.

Грешката е коригирана на 29 март, според доклада за грешка. Google реши да присъди награда от 10 000 долара за бъг на лицето, което го е докладвало, което отново не е човекът, който го е открил.

Актуализация, 20 юли, 14:30 ET: Тази история е актуализирана, за да включва съобщения в Discord, публикувани от лицето, което твърди, че първоначално е открило грешката.