谷歌披露《堡壘之夜》安卓漏洞引Epic不滿：不該這么做
作者：丶阿難 更新于：2020-03-09 08:00:57 1085
最近，谷歌的安全專家提前披露了《堡壘之夜》安卓漏洞，這引起了廠商Epic的非常不滿。下面一起來(lái)看看吧。
起始
該漏洞允許惡意用戶或應(yīng)用程序劫持《堡壘之夜》下載進(jìn)程，并將下載路由遠(yuǎn)離Epic的服務(wù)器以安裝完全不同的東西。這被稱為磁盤中的人（MitD）攻擊。Google沒有義務(wù)在Epic的安裝程序中查找漏洞。但可能是為了防止漏洞，不使安卓平臺(tái)名聲受損。Google于8月15日上午7點(diǎn)在PT發(fā)現(xiàn)了該漏洞，并立即私下通知了Epic Games。
在7分鐘內(nèi)，Epic承認(rèn)了這一漏洞。10個(gè)小時(shí)后，Epic確認(rèn)他們復(fù)制了這個(gè)漏洞并正在修復(fù)。第二天，8月16日太平洋時(shí)間下午4:12，Epic表示他們已經(jīng)為玩家部署了一個(gè)修復(fù)程序。
泄露
補(bǔ)丁發(fā)布2小時(shí)后，Epic要求Google隱瞞漏洞利用的詳細(xì)信息。該請(qǐng)求為期90天，以便玩家有足夠的時(shí)間來(lái)修補(bǔ)他們的設(shè)備。
令Epic感到沮喪的是，Google在將補(bǔ)丁部署到玩家后僅7天就開始宣傳此漏洞。而Google的錯(cuò)誤披露指南明確規(guī)定，他們會(huì)在前90天內(nèi)披露錯(cuò)誤。
反映
正如所料，Epic Games對(duì)此決定不滿意。
Epic Games首席執(zhí)行官兼虛幻引擎創(chuàng)始人Tim Sweeney向Mashable提供了以下聲明：
Epic真的很感謝Google在Android上發(fā)布后立即對(duì)Fortnite進(jìn)行深入的安全審核，并與Epic分享結(jié)果，以便我們能夠快速發(fā)布更新來(lái)修復(fù)他們發(fā)現(xiàn)的漏洞。
然而，谷歌公開披露該漏洞的技術(shù)細(xì)節(jié)是不負(fù)責(zé)任的，而許多裝置尚未更新，仍然容易受到攻擊。
谷歌的安全分析工作受到贊賞并受益于Android平臺(tái)，但像谷歌這樣強(qiáng)大的公司應(yīng)該實(shí)施比這更負(fù)責(zé)任的披露時(shí)間，并且在反對(duì)公關(guān)在Google Play之外發(fā)布Fortnite的反公關(guān)努力中不會(huì)危及用戶。
谷歌方表示：用戶安全是我們的首要任務(wù)，作為我們主動(dòng)監(jiān)控惡意軟件的一部分，我們?cè)贔ortnite安裝程序中發(fā)現(xiàn)了一個(gè)漏洞。我們立即通知了Epic Games，他們解決了這個(gè)問題。
