在不到一个月的时间里，谷歌零点项目（Project Zero）团队再次根据90天原则发布：微软Windows 8.1操作系统中存在一个新的特权升级漏洞。这次发布依然先于微软修复漏洞的计划，导致两大科技巨头的口水战再次升级。
不到一月，发布微软两个安全漏洞
两周之前，谷歌零点项目曾发布一个影响Windows 8.1的特权升级（EoP）漏洞，可能导致黑客对内容进行修改甚至完全掌控受害者电脑，导致数百万用户处于易受攻击的状态中。那次微软曾批评谷歌，称它正计划修复这个漏洞，谷歌的披露置用户的安全于不顾。而这次谷歌的发布比微软漏洞修复计划提前两天，表明谷歌坚守自己90天漏洞修复的原则。
尽管微软十分懊恼，但其实谷歌曾在2014年10月13日便已将这次特权升级漏洞的事宜报告给微软。11月，微软要求谷歌将最后期限延期至2015年2月，但谷歌予以回绝。随后，微软保证在1月星期二补丁日修复这个漏洞，但谷歌依然表示拒绝，即便延期日期只有2天。
新EoP漏洞的技术详情
谷歌安全团队指出，用户配置文件服务是用来创建某些目录的，并且在用户登录计算机之后尽快安装域用户。基本配置文件除了加载域，会在一个特权账户下被创建，这是安全的，因为正常用户需要管理员权限才会做到。
“然而，它处理模拟的方式中存在一个漏洞，配置文件会在用户的令牌下创建首批资源，但它会变成对部分本地系统的模拟，”谷歌指出。“当模拟本地系统时，所有创建的资源都可能会被用来进行特权升级。需要注意的是，用户每次登录账户的时候都会发生这种情况。而不是仅仅在本地配置文件初始配置的时候才发生。”
微软Windows 8.1操作系统漏洞的概念验证（PoC）已发布，但专家表示这个漏洞同时影响Windws 7。
本文由测腾代码卫士编译，不代表测腾观点，转载请注明“转自测腾代码卫士www.codesafe.cn”。