微軟發(fā)布57個安全補丁 谷歌工程師貢獻過半

微軟日前迎來了有史以來最為“隆重”的一次“Patch Tuesday”（ Patch Tuesday，即是在每個月的第二周星期二發(fā)布系統(tǒng)補丁，補丁內(nèi)容包括了對BUG的修復，系統(tǒng)升級和驅(qū)動程序升級）安全更新，針對包括IE瀏覽器、Windows系統(tǒng)、Office軟件及其關(guān)鍵的郵件軟件Exchange Server在內(nèi)發(fā)布了57個安全更新補丁。需要指出的是，在這57個安全更新中，竟然有超過半數(shù)的補丁來自于谷歌工程師的發(fā)現(xiàn)。

事實上，谷歌工程師向來以善于發(fā)現(xiàn)微軟系統(tǒng)漏洞聞名，但他們在本月的表現(xiàn)可謂是“史無前例”。一名自稱為Windows黑客的谷歌安全工程師瑪特魯茲-杰庫茲克（Mateusz Jurczyk）到目前為止已經(jīng)幫助微軟找出了32個系統(tǒng)高危以及危險級別的漏洞。另一名名為瓦伊爾-科德溫德(Gynvael Coldwind)的谷歌安全工程師則總計提交了5個安全漏洞。

盡管幫助微軟找出系統(tǒng)漏洞一直是谷歌的慣有作風，但本月谷歌的表現(xiàn)仍然大大出乎我們的意料。在去年十月、十一月、十二月谷歌每月都只找出了一個漏洞，今年一月更是顆粒無收。但本月，微軟已經(jīng)總計發(fā)布了64個安全更新，達到了歷史之最。

自2000年以來，微軟一直都十分歡迎外界人士幫助自己找出系統(tǒng)漏洞。微軟表示“當你在微軟安全公告（Microsoft Security Bulletin）中看到某個安全專家得到肯定的時候，這意味著他們匿名向微軟報告了某一安全漏洞，同我們一道開發(fā)了相應(yīng)的安全補丁，并在風險警報解除后幫助我們一同對外公布了這一信息?！?/p>

的確，在過去很長一段時間內(nèi)，谷歌工程師已經(jīng)幫助微軟發(fā)現(xiàn)了不少安全漏洞，但他們也并不總是甘愿成為“無名英雄”。2012年6月，一名谷歌安全工程師找到了Windows系統(tǒng)存在的一個安全漏洞，但卻只給了微軟5天時間便公布了這一漏洞。隨后，憤怒的微軟對外宣布了針對非微軟產(chǎn)品的“漏洞信息披露政策”，并開始針對谷歌產(chǎn)品的漏洞進行發(fā)布。2012年7月，一名微軟工程師宣稱自己找到了存在于谷歌Android系統(tǒng)之中通過郵件傳播的僵尸漏洞，但谷歌并未承認這一漏洞的存在。

瑪特魯茲-杰庫茲克并沒有對外透露自己“為什么特別喜歡尋找Windows系統(tǒng)中存在的安全漏洞，而沒有針對谷歌產(chǎn)品（比如谷歌Chrome中內(nèi)置的PDF瀏覽器）展開類似工作”的原因。

一般來說，如果自己所發(fā)現(xiàn)的漏洞影響巨大，這些谷歌工程師通常都傾向于在博客中對外公布自己的成果，以借此展示自己的技術(shù)力量。但對于那些小型漏洞，他們則更愿意為消費者考慮，并主動向微軟提交漏洞報告。

瓦伊爾-科德溫德在自己的Google+主頁中表示：“如果你有興趣了解更多由我和杰庫茲克所發(fā)現(xiàn)的32個微軟Windows安全漏洞的信息，你可能需要參加今年的SyScan大會（SyScan是國際頂級的安全技術(shù)大會）?！?/p>