Microsoft、無責任な脆弱性公開を理由にストライキ |コンピューターウィークリー

不満を抱いたセキュリティ研究者が、リリース前にレドモンドに詳細を共有せずに自社製品の6つのゼロデイ脆弱性に対する概念実証ハッキングを公開したことに対し、Microsoftは顧客を「不必要なリスク」にさらしているとして反撃した。

この研究者は、一部の人には悪意のある人物とみなされ、また別の人にはロビンフッドのようなサイバーヒーローとみなされ、その他の関連する側面の中でもナイトメア・エクリプスとしてコミュニティに知られているが、その動機はマイクロソフトに対する個人的な不満にあるようだ。

彼らの身元は公表されていないが、Computer Weekly は、ここ数日間で彼らが GitHub および GitLab コード リポジトリから禁止されたことを理解している。彼らはさらなる暴露を脅し、視聴者に日記に7月14日を記すよう指示した。

Microsoft は毎年、調整された脆弱性開示 (CVD) を通じて数百人のセキュリティ研究者と協力していると述べました。CVD は業界標準のベスト プラクティス システムであり、倫理的ハッカーが調査結果をベンダーと共有して問題が暴露される前に対処できるようにするものです。

理論的には、必ずしもそうとは限りませんが、このプロセスは、概念実証コードが脅威アクターの手に渡る前にパッチを確実に発行できるようにすること、そして研究者に公正な補償と承認を与えることを目的としていますが、これについては Nightmare Eclipse が異論を唱えています。

しかし、Microsoftは、BlueHammer、GreenPlasma、MiniPlasma、RedSun、UnDefend、YellowKeyとして知られるNightmare Eclipseによって暴露された脆弱性は、責任を持って公開されず、過去数週間に何の警告もなく世界に公開されたため、チームは準備が整わず、追いつくために慌てていると述べた。

Microsoftは「こうした情報開示によって生じる不必要なリスクに対応し、当社のセキュリティチームは影響を理解し、顧客を保護し、セキュリティアップデートを開発するために24時間体制で取り組んでいる」と述べた。

「私たちは、こうした行為、そして当社の顧客やデジタルエコシステムに損害を与える可能性のある、適切な調整を離れたいかなる開示にも断固として反対します。悪意のある者によるパッチが適用されていない脆弱性の概念実証コードを導入するような調整されていない開示は決して正当化されず、現実世界に影響を及ぼします。」

Microsoftは、多様な視点を取り入れており、すべてにおいて独立した研究者と必ずしも同意できるわけではないことを認めながらも、「透明性を重視」しており、より広範なコミュニティとの対話の機会を今後も作り続けたいと述べた。

Microsoftは、「当社のチームは、顧客に影響を与える脆弱性を迅速に調査し、対処し、アップデートをリリースするためにできる限りのことを行うため、引き続き責任ある研究をサポートしていきます。当社は、過去のやり取りや評判に関係なく、公開研究者ポータルを通じて誰からでも脆弱性に関する提出を常に受け​​入れており、今後も歓迎するつもりです。」と述べた。