微軟於本周三（10/18）公布了一藏匿在Google Chrome瀏覽器的安全漏洞，編號(hào)為CVE-2017-5121為一遠(yuǎn)端程式執(zhí)行（Remote Code Execution，RCE）漏洞，指出強(qiáng)調(diào)沙箱安全政策對(duì)於Chrome的安全性來說并不足夠，同時(shí)批評(píng)Google的修補(bǔ)程序有瑕疵。

　　外界紛紛將微軟此舉視為是「以其人之道還治其身」的作法。Google的爬蟲團(tuán)隊(duì)Project Zero多次公布微軟產(chǎn)品的安全漏洞，其中更有幾次是在微軟尚未修補(bǔ)前公開，雙方還曾為此隔空交戰(zhàn)。本月初，Project Zero亦抨擊微軟的修補(bǔ)措施有問題，指出微軟經(jīng)常優(yōu)先修補(bǔ)最新作業(yè)系統(tǒng)的安全漏洞，駭客便可藉由程式碼的比對(duì)找出舊版Windows中的同樣漏洞并伺機(jī)攻擊。

　　微軟的「反擊」是以自行開發(fā)的漏洞檢查工具ExprGen來檢驗(yàn)Chrome瀏覽器所使用的V8 JavaScript引擎，發(fā)現(xiàn)了CVE-2017-5121與其他臭蟲 ，還打造了開采CVE-2017-5121漏洞的攻擊程式，并於今年9月14日將它們提交給Google，總計(jì)獲得Google所頒發(fā)的15837美元爬漏獎(jiǎng)金，其中，光是CVE-2017-5121漏洞的獎(jiǎng)金便占了7500美元。Google已於9月中旬釋出的Chrome 61修補(bǔ)了相關(guān)漏洞。

　　微軟表示，Chrome相關(guān)缺乏RCE的防范機(jī)制，意味著從記憶體損壞臭蟲到遠(yuǎn)端執(zhí)行程式漏洞的路徑可能很短，且於沙箱內(nèi)的多種安全檢查讓RCE攻擊程式得以繞過同源政策，以便存取受害者正執(zhí)行的網(wǎng)路服務(wù)或儲(chǔ)存相關(guān)憑證。

　　微軟同樣也批評(píng)了Google的修補(bǔ)政策，指出Google先將修補(bǔ)程式上傳至GitHub的V8專案，再於3天後修補(bǔ)Chromium專案與Chrome瀏覽器，而這短短的幾天已足以讓駭客取得漏洞資訊、打造開采程式并發(fā)動(dòng)攻擊。

　　盡管多數(shù)人都認(rèn)為微軟是在對(duì)Google還以顏色，但雙方在爬漏上的競(jìng)爭(zhēng)也將替使用者創(chuàng)造更安全的數(shù)字環(huán)境。