Google の Project Zero、Chrome OS の未修正脆弱性を公表 5
ストーリー by nagazou
公表 部門より
公表 部門より
headless 曰く、
Google の Projecto Zero は 5 月 26 日、報告から未修正のまま 90 日間が経過した Chrome OS の脆弱性を公表した (Issue 2264、 Neowin の記事)。
Chrome OS では画面ロック時に BadUSB などの攻撃から保護するため USBGuard を用いるが、接続を許可・拒否する USB デバイスをリストアップしたポリシーに問題があり、接続を拒否すべき USB デバイスの接続を許可してしまう可能性があるという。
Project Zero では深刻度「高」のタグを付けているが、2 月 24 日に報告を受けた Chromium チームは深刻度「低」としてトリアージしており、ドライバーを基準にマッチングを行うという緩和策も役に立たないとのこと。5 月 25 日に報告から 90 日が経過した。なお、この脆弱性は単独で攻撃に使用できるものではないものの、画面ロック時の USB による攻撃の可能性を広げるとのことだ。
対象 (スコア:0)
Chromebookユーザーだけど、悪意ある人に端末がわたった時点でアウトだよなあ
Re: (スコア:0)
つ https://xkcd.com/538/ [xkcd.com]
この記事の主点は (スコア:0)
Google の Projecto Zero は身内（Chrome OS or Chromium）であっても容赦はしないということでおｋ？
いや、それは孔明の罠だ。 (スコア:0)
大したことのない脆弱性が90日経過して公表されたのを見て容赦しないと思うのは早計で、もっと重大なセキュリティーホールに関してホッカムリしているかもしれない。
Re: (スコア:0)
身内は例外扱いした実績が確かあったような