BlueHammer, RedSun, UnDefend - csak három azokból a 0day sebezhetőségekből, amelyek az elmúlt pár hétben bukkantak fel Windows-ra. Természetesen ezen felül is van még jónéhány, közös jellemzőjük, hogy a Nightmare Eclipse fedőnevű biztonsági kutató tette közzé őket, anélkül, hogy időt adott volna a Microsoftnak a javításra. Alapvetően íratlan szabály a biztonsági iparban, hogy időt kell adni a javítás elkészültére, ugyanakkor ez nincs kőbe vésve és például a Google is csinált hasonlót szintén Windows-t érintő hiba kontextusában.
Jelen pillanatban nem tudni, kit takar a nick - az viszont biztosnak tűnik, hogy a Microsoft nem kezelte jól az esetét. Az első reportolt hibánál még betartotta a szabályokat, de ha a kutatókra vonatkoznak íratlan szabályok, akkor a cégekre is. Ez pedig elsődlegesen az, hogy a hibát elsőként reportoló és annak jelenlétét bizonyító usernek jár a felfedezésért járó dicsőség. Nos, az első report során a Microsoft negligálta a hibát, majd amikor később egy kutató trió szólt nekik ugyanarról, ők kapták a felfedezés dicsőségét. Nightmare Eclipse ezután kezdte taknyosra ..opatni a redmondi céget és egyesével nyilvánosságra hozni az általa ismert hibákat. Jelen pillanatban minimum 10 ilyen hibánál tart és a harc közte és a Microsoft között egyre élesedik. Eleinte a Microsoft tulajdonú GitHubon jelentek meg a PoC kódok, aztán a cég kitiltotta Nightmare Eclipse-et onnan, erre a kódok megjelentek GitLab-en, de ők is letiltották az accountot. Hogy ez törvényi kötelezettség-e, túlbuzgóság - nem tudom megítélni és nem is akarom. Mindenesetre a Microsoft már a törvénnyel fenyegetőzik, mondván Nightmare Eclipse elősegíti a kiberbűnözést. Nem egészen érzem ezt teljesen jó érvelésnek, mert a Microsoft is ezt teszi, amikor lyukakkal teli szoftvereket ad ki...
Vannak ugyanis cégek, akiknek a szoftverfejlesztéseit már régen bíróságilag kellett volna megtiltani: Microsoft, Adobe minimum, de még vannak jópáran, akik csatlakozhatnak hozzájuk.
Azt remélem, hogy minden érintett fél teljes megnyugvására kerül pont az ügy végére.
