Google工程师公开批评微软 称其难以合作

5月24日消息，据国外媒体报道，Google安全工程师Tavis Ormandy抱怨微软对外部安全研究人员怀有敌意，难以合作，并直接公开一个Windows核心驱动程序的win32k.sys零时差漏洞详细资料，用户端程序触及该漏洞可能导致系统宕机或提升程序可用权限。

微软安全部门发言人Dustin Childs周三通过电子邮件向美国媒体承认，微软知道一个潜在的问题会影响Windows，已经就此展开研究。他声称还未出现任何针对此漏洞的攻击活动，但微软会采取适当的行动来保护客户，不过他没有回复媒体的其它相关问题。

Tavis Ormandy早在今年三月就在GitHub讨论该漏洞，并征求其他安全专家协助，不过那些资料都已经移除。在上周五的贴文上他说，实在没空理会微软愚蠢的程序码，但他也想寻求解决该漏洞的方法。接着Ormandy又在周一再次贴文公布了更多相关的细节。

安全专家认为，该漏洞的确可以让用户端软件提升使用权限，但远端程序无法利用此漏洞，因此风险较小。但也有专家认为，虽然该漏洞不能被远端攻击程序所用，影响仍非常严重。

安全公司Secunia的安全通告则指出，他们已经验证该漏洞会影响已经安装所有更新程序的Windows 7 Pro，并认为Windows 8与其他版本也可能受到影响。Secunia说明该漏洞会产生DoS攻击或让攻击者的权限提升。

Tavis Ormandy在2010年曾经因为揭露微软XP漏洞及概念验证的攻击程序而遭受批评，当时他只给微软五天的时间修补漏洞。