Microsoft paga US$ 125 mil para a HP, mas não corrige falha

Numa situação curiosa (não, vamos ser sinceros, é bizarra) a Microsoft decidiu não corrigir uma falha de segurança sofisticada descoberta por um time de especialistas em segurança da HP. A vulnerabilidade, que está no Internet Explorer e foi comunicada à Microsoft, rendeu à HP uma recompensa de US$ 125 mil. Mas, agora, a Microsoft entende que não vale a pena consertar o problema.

O pagamento feito pela Microsoft faz parte do programa de recompensas da empresa. A Microsoft, assim como o Facebook, o Google e outras companhias de tecnologia, paga por informações sobre brechas e outras sugestões que podem melhorar a segurança de seus produtos.

A HP revelou o episódio em fevereiro. Na época, quando já contavam 120 dias da data de descoberta do problema, a empresa divulgou a descoberta da falha — mas sem dar nenhum detalhe técnico. A empresa disse que o dinheiro seria doado para instituições de educação voltadas às ciências exatas.

Na sexta-feira (19), a HP resolveu publicar todos os detalhes técnicos — apesar de a Microsoft ainda não ter corrigido o problema. A justificativa é que a fabricante do Windows decidiu que simplesmente não vale a pena consertar a brecha.

Burlando mecanismo de defesa com fogo amigo

As descobertas da HP não permitem de imediato que uma página maliciosa seja capaz de infectar um computador. Mas, usando as técnicas descritas pela HP, é possível criar códigos de ataque mais confiáveis — no sentido de que eles funcionam com mais previsibilidade — e até criar situações de ataque a partir de vulnerabilidades que, sem esse conhecimento, não poderiam ser usadas para a criação de uma página web capaz de infectar o usuário de Internet Explorer.

Embora essas informações tenham merecido o valor de US$ 125 mil, a Microsoft acha que não vale a pena consertar o problema.

O motivo disso é que a técnica desenvolvida pelos especialistas da HP permite burlar um recurso de segurança chamado ASLR. O ASLR é um recurso que “embaralha” a memória do sistema para que ela não seja previsível para um invasor, dificultando a criação de códigos de ataque (exploits). Códigos de ataque precisam ter alguma noção da localização de certas funções na memória e, se ela estiver embaralhada, essa tarefa é mais difícil.

Porém, o espaço de memória de 32-bit é menor e, portanto, o embaralhamento também traz um ganho reduzido quando o sistema está em 32-bits. Por essa lógica, a diferença entre ser capaz de burlar ASLR com mais ou menos precisão é pouco importante.

Complicando ainda mais a situação, a brecha que a HP encontrou está na verdade em outro recurso de segurança do Internet Explorer — o MemoryProtect. Em outras palavras, trata-se de uma situação de fogo amigo dentro do Internet Explorer: um recurso de segurança derrota o outro. Para a Microsoft, não vale a pena desativar ou alterar o MemoryProtect.

A HP argumenta que milhões de pessoas ainda usam sistemas em 32-bit e que ter um ASLR ineficiente é muito mais indesejado do que o MemoryProtect. Em outras palavras, o ganho não vale a pena.

Embora os dois argumentos sejam muito bons, ainda é curioso que a Microsoft decida pagar um alto valor por uma informação para depois não usá-la. Pagou e não levou.