这不是大多数人能够理解的广告：出售：“我们针对Win8+IE10的第一个零日攻击安全漏洞，可绕过Windows 8中的HiASLR/AntiROP/DEP & Prot模式等沙盒技术(不需要Flash)。”这是一家名为Vupen的法国公司最近在Twitter网站上发布的信息的一部分。这家公司专门发现微软、Adobe、苹果和甲骨文等公司广泛应用的软件中的安全漏洞。
Vupen处于计算机安全研究的一个灰色领域，向政府和企业的审查机构出售安全漏洞，但是，不共享受影响的软件厂商的细节情况。这家公司宣称，它的信息能够帮助组机构防御黑客攻击并且在某些情况下还能实施攻击。
Vupen已经发现微软新的Windows 8操作系统和IE 10浏览器中的某个地方存在一个问题。这个安全漏洞还没有公开披露。微软也没有修复这个漏洞。
Vupen的发现是最新发布的Windows 8和IE 10的第一批问题之一，尽管在Windows 8平台上运行的其它第三方软件业也发现了安全漏洞。
微软可信计算主管戴夫·福斯特洛姆(Dave Forstrom)表示，微软鼓励研究人员参加其“协调的安全漏洞披露”计划。这个计划要求有关人员在公开披露安全漏洞之前给微软一些修复软件漏洞的时间。
福斯特洛姆在声明中称，我们看到了Twitter网站上发表的那个微博。但是，他们没有与我们共享进一步的信息。
Vupen上周三在Twitter网站发表的信息暗示这个安全漏洞会让黑客绕过Windows 8中包含的安全技术，包括熵值较高的地址空间布局随机化(Address Space Layout Randomization)、反返回导向编程(Return Oriented Programming，ROP)和DEP(数据执行保护)等安全措施。这家公司还指出，这个安全漏洞不依赖于Adobe System的Flash多媒体程序的问题。
nCircle安全运营主管安德鲁·斯道姆思(Andrew Storms)称，如果这个安全漏洞被证实，那么，微软刚刚发布Windows 8就在它宣传为最安全的软件平台中发现安全漏洞将是微软的一个耻辱。
由于最近Windows 8的发布，成功地利用安全漏洞的市场机会是有限的，但是，另一方面，没有人证实这个安全漏洞对于老版本Windows或者IE浏览器是否有效。
位于澳大利亚悉尼的安全公司HackLabs的渗透测试者和高级顾问乔迪·墨尔本(Jody Melbourne)称，这个安全漏洞对于有兴趣窃取代码签名证书或者源代码的第三方微软开发人员是有用的。
那么，这个安全漏洞值多少钱?现在很难说。Vupen没有发布公开的价格表。但是，墨尔本表示，如果这个安全漏洞在Vupen网站显示更长的时间并且没有其他人发现这个安全漏洞，这个安全漏洞的价格将随着时间的推移而增加。
网友评论