"random angol szövegek"
Nem random, hanem ontopik. Ráadásul a végén már angolul, hogy ne tudj belekötni. Az összes bemásolt szöveg a forrásból származik. A ZDI álláspontja, nem az enyém.
Összefoglalom a lényeget egyszerűen:
A ZDI kapott egy biztonsági problémával kapcsolatos felfedezéséért 125 ezer dollárt a Microsoft-tól egy olyan programban, ahol elég alaposan alá kell támasztani az állításokat. Nyilván nem a semmire kaptak 125 ezer dollárt.
Ezután a Microsoft által kitüntetett biztonsági cég azt állította, hogy lenne mit javítani a témában.
A Microsoft szerint nem ér az annyit, hogy javítsák.
A ZDI ezzel nem ért egyet, ezért készítettek a problémára egy PoC-t, azt közzétették, hogy az érintettek valami módon értesülhessenek a problémáról, illetve megtehessék a szükséges lépéseket a védelmük érdekében.
BTW: a ZDI sosem állította, hogy 64 bitet nem érinthet a probléma. Azt állította, hogy (jaj, angol szöveg következik):
"In this situation, Microsoft’s statement is technically correct – 64-bit versions do benefit from ASLR more than 32-bit versions. A 64-bit system has a much larger address space than a 32-bit system, which makes ASLR that much more effective."
Magyaul, az ASLR 64 biten a nagyobb címtartományból fakadóan hatékonyabb. De sehol nincs az leírva explicit, hogy ott teljesen védve vagy. Láttunk már karón varjút.
Szóval szerintem, ha egy elismert cég állít valamit, akkor azt érdemes figyelembe venni. Főleg, ha előtte kitüntettük az érdemeiért.
--
trey @ gépház