Microsoft: ‘Google had ons meer tijd moeten geven om met een update te komen’

Microsoft uit kritiek op Google nadat het bedrijf informatie heeft vrijgegeven over een zero-day kwetsbaarheid in Windows waarvoor nog geen update beschikbaar is. Microsoft stelt dat Google met de actie meer kwaad dan goed doet.

Microsoft uit de kritiek in een blogpost. Google waarschuwde op maandag 31 oktober voor een beveiligingslek in het Windows besturingssysteem. Het beveiligingsprobleem draait om een bestand genaamd ‘Win32k.sys’, dat door Windows wordt gebruikt voor grafische weergaven. Onderzoekers van Google hebben een manier ontdekt waarmee dit bestand kan worden misbruikt om te ontsnappen aan een sandbox op het Windows platform. Deze sandboxen zijn juist bedoeld om te voorkomen dat aanvallers toegang kunnen krijgen tot en wijzigingen kunnen aanbrengen in onderdelen van andere apps en Windows.

Na zeven dagen al naar buiten gebracht

Het lek is door Google naar buiten gebracht nadat Microsoft een week de tijd heeft gekregen om het lek te dichten. Dit is in lijn met het beleid dat Google sinds 2013 hanteert. Volgens dit beleid geeft Google bedrijven 60 dagen de tijd kwetsbaarheden te verhelpen. Indien het echter om een ernstige kwetsbaarheid gaat krijgen bedrijven hiervoor slechts zeven dagen de tijd.

Google noemt het lek in Windows ernstig, aangezien deze actief door cybercriminelen wordt misbruikt. Onder andere een cybercrimegroepering die in verband wordt gebracht met aanvallen op de Democratische Partij zou het lek misbruiken. Microsoft is het niet eens met deze classificering en stelt dat het risico dat het beveiligingslek met zich meebrengt beperkt is. Dit vooral aangezien Win32k.sys in de Anniversary Update van Windows 10 is geüpdatet. In andere versies van Windows is het beveiligingslek echter nog niet gedicht. Daarnaast wijst Microsoft op een noodpatch die Adobe vorige week heeft uitgebracht voor Flash. De aanvallers misbruiken het lek dat in deze noodpatch is gedicht om toegang te krijgen tot de Windows-kernel.

‘Google brengt gebruikers in gevaar’

Een woordvoerder van Microsoft zegt tegenover VentureBeat: “Wij geloven in gecoördineerde openbaarmaking, en de publicatie van Google levert potentiële risico’s op voor klanten.” Microsoft is dan ook niet gelukkig met de actie van Google en stelt dat de IT-gigant Microsoft meer tijd had moeten geven om het probleem te verhelpen. Het bedrijf verwacht tijdens de reguliere updateronde op 8 november de kwetsbaarheid alsnog te dichten.