Microsoft заплати рекордните $125 хиляди за експлойт

Microsoft заплати 100 хиляди американски долара на компютърните специалисти от групата Zero Day Initiative (ZDI), които демонстрираха начин за успешно заобикаляне на най-новите софтуерни защити на уеб-браузъра Internet Explorer 11. По-конкретно, това е защитната технология Anti-Use-After-Free (Anti-UAF). Още $25 хиляди са заплатени за показания начин за защита срещу тази уязвимост. Сумата е начислена в рамките на инициативата Mitigation Bypass and BlueHat Defense.

Новата защита, специално създадена за предпазване от use-after-free атаки, бе добавена в Internet Explorer 11 през лятото на миналата година. Чрез обновявания Microsoft добави в кода на браузъра защитите Isolated Heap (изолирана обща област памет) и Deferred Free (отложено освобождаване на памет). Тези механизми служат за отделяне на памет за критични от гледна точка на безопасността обекти от изолирана обща памет, която няма връзка с паметта на конкретния процес и нейното отложено освобождаване.

Детайли за използвания от ZDI метод не са публикувани, но е известно, че той се справя с Deferred Free техниката, както и с технологията за манипулиране на динамичните библиотеки, които се зареждат във виртуалното пространство на браузъра.