Microsoft раскритиковали за медленное исправление безопасности

16 июня 2022 г.

Несколько фирм, занимающихся кибербезопасностью, раскритиковали Microsoft за медленную и непрозрачную практику установки исправлений.

Orca Security и Tenable открыто заявляли о том, как Microsoft справляется с уязвимостями высокой степени опасности. Первый говорит, что с начала января 2022 года пытается заставить Microsoft исправить критическую проблему в Azure Synapse Analytics, и после долгих переговоров, а также двух неудачных попыток компании наконец удалось предоставить исправление для пользователя. конечные точки, правильно, только 15 апреля.

Tenable также выразила неудовлетворенность тем, как была решена проблема с Synapse, говорится в публикации. В LinkedIn post, председатель и главный исполнительный директор компании Амит Йоран, заявил, что Microsoft продемонстрировала «недостаток прозрачности» всего за день до снятия эмбарго на раскрытие конфиденциальных уязвимостей.

Нашивка Slow Follina

«Обе эти уязвимости мог использовать любой, кто использовал службу Azure Synapse. Оценив ситуацию, Microsoft решила молча исправить одну из проблем, преуменьшая риск», — сказал Йоран. «Только после того, как нам сказали, что мы собираемся стать достоянием общественности, их история изменилась… через 89 дней после первоначального уведомления об уязвимости… когда они в частном порядке признали серьезность безопасность. На сегодняшний день клиенты Microsoft не были уведомлены».

Microsoft также подверглась критике за то, как она справилась с уязвимостью Follina, которая, по-видимому, была исправлена ​​​​только после того, как «активно использовалась в дикой природе в течение более семи недель».

Исследователи из Shadow Chaser Group, по-видимому, связались с Microsoft в апреле, чтобы сообщить об использовании Follina в дикой природе, но компания не объявляла это как уязвимость до двух недель назад по неизвестным причинам.

Медленно или нет, Microsoft подробно рассказала о том, как она устранила уязвимость Azure: «Мы глубоко привержены защите наших клиентов и считаем, что безопасность — это командный вид спорта. Мы ценим наше партнерство с сообществом безопасности, которое позволяет нашей работе защищать клиентов. Выпуск обновления для системы безопасности — это баланс между качеством и своевременностью, и мы учитываем необходимость свести к минимуму сбои в работе клиентов при одновременном улучшении защиты».

Через: Арс Техника

---

Оригинал