Спецслужба Великобритании обнародовала данные о найденных ею уязвимостях

Центр правительственной связи Великобритании (GCHQ) опубликовал пресс-релиз, в котором сообщил о том, что в первом квартале этого года британские силовики поделились данными о 20 уязвимостях в разработчиками различного программного обеспечения. Среди таких программных продуктов — Mozilla Firefox, Apple iOS, OS X и другие.

Один из центров связи GCHQ (Tom Reading/Flickr)

Британская спецслужба, являющаяся аналогом Агентства Национальной Безопасности США, печально известного благодаря действиям Э. Сноудена, обнародовала перечень наиболее значимых продуктов, в которых ей удалось обнаружить уязвимости. Представители GCHQ заявили, что все опубликованные уязвимости несли значительную угрозу пользователям — так, например, дефект ядра OS X 10.11.4 El Capitan позволял бы злоумышленнику выполнить произвольный код на компьютере жертвы. Похожая уязвимость была обнаружена и в iOS, а другой дефект мобильной системы Apple позволил бы злоумышленнику вызвать отказ в обслуживании при использовании сторонних приложений. Уязвимость в Mozilla Firefox позволяла некорректно использовать метод JavaScript.watch() для переполнения стека и потенциального выполнения произвольного кода. Кроме того, среди жертв оказался и кэширующий прокси-сервер Squid, две уязвимости которого позволяли удаленному злоумышленнику считать данные в памяти сервера.

Все опубликованные британскими силовиками уязвимости на момент выхода пресс-релиза были уже исправлены разработчиками уязвимого ПО. Необходимо отметить, что у GCHQ есть собственные политики публикации данных об уязвимостях, по которым спецслужба имеет право не раскрывать уязвимости поставщикам программного обеспечения, если того требуют интересы правительства. Более того, Центр правительственной связи имеет право не сообщать, использовала ли она когда-нибудь эти уязвимости для вышеуказанных интересов. Таким образом, найденные в первом квартале уязвимости вполне могли использоваться GCHQ для своих нужд, прежде чем данные об уязвимостях были переданы разработчикам. Пресс-служба Центра запрос журналистов Motherboard о прояснении данной возможности оставила без внимания.

В данной статье описываются множественные уязвимости SQUID-2016:6, Mozilla Foundation Security Advisory 2016-47, CVE-2016-1750 и CVE-2016-1752.