Google mengatakan seorang karyawan Apple menemukan Day Zero tetapi tidak melaporkannya

Kredit gambar: S3studio/Getty Images/Getty Images

Google mengidentifikasi nol hari di Chrome yang ditemukan oleh karyawan Apple, Menurut komentar di laporan bug resmi. Meskipun bug itu sendiri tidak layak diberitakan, keadaan bagaimana bug ini ditemukan dan dilaporkan ke Google, paling tidak, aneh.

Menurut seorang karyawan GoogleBug tersebut awalnya ditemukan oleh seorang karyawan Apple yang berpartisipasi dalam kontes peretasan Capture The Flag (CTF) pada bulan Maret. Tetapi karyawan Apple ini tidak melaporkan bug tersebut, yang saat itu nol – yang berarti Google tidak mengetahui bug tersebut dan tambalan belum dirilis. Sebaliknya, bug tersebut dilaporkan oleh orang lain yang juga berpartisipasi dalam kompetisi. Dia sebenarnya tidak menemukan bug itu sendiri, dan dia bahkan bukan anggota tim yang menangkap bug tersebut.

“Masalah ini dilaporkan oleh sisu dari tim CTF HXP dan ditemukan oleh anggota Apple Security Engineering and Architecture (SEAR) selama HXP CTF 2022,” tulis Googler.

Setelah cerita ini pertama kali diterbitkan, TechCrunch melihat saluran Discord di mana seseorang yang mengaku sebagai karyawan Apple yang awalnya menemukan Zero-Day menjelaskan sisi cerita mereka, terutama mengapa mereka tidak segera melaporkan bug tersebut, sebagai tanggapan terhadap sisu, orang yang melaporkan bug tersebut ke Google.

“Saya membutuhkan waktu dua minggu untuk mengerjakannya secara penuh sampai saya mengetahui alasannya,” tulisnya [the] Mengeksploitasi [Proof of Concept] Dan tuliskan masalahnya agar bisa diselesaikan,” tulis orang yang mendampingi Galileo pada 6 Juli lalu.

Itu dilaporkan pada tanggal 5 Juni, oleh perusahaan saya. Ya, sudah terlambat, dan ada banyak alasan untuk itu. Pertama saya harus menemukan orang yang bertanggung jawab, laporan itu harus ditandatangani oleh orang dan kemudian orang yang bertanggung jawab adalah OOO. Patut dipuji bahwa chrome memutuskan untuk memperbaikinya secepatnya, tetapi menurut saya tidak ada urgensi yang nyata. Hanya Anda dan tim saya yang menyadarinya, dan sepertinya masalahnya tidak akan banyak dalam skenario dunia nyata (ini tidak berfungsi di Android, sangat terlihat karena membekukan GUI Chrome selama beberapa detik), tulis Galileo.

Galileo dan Sesso tidak segera menanggapi permintaan komentar.

Apple tidak menanggapi permintaan komentar.

Juru bicara Google Ed Fernandez mengatakan kepada TechCrunch melalui email bahwa “pemahaman umum kami salah.”

“Kami merekomendasikan untuk menghubungi Apple untuk detail lebih lanjut,” tulis Fernandez.

Bukan hal yang aneh bagi tim CTF dan pemain CTF untuk menemukan nol hari selama kompetisi, terutama dalam tantangan seperti ini dan kompetisi “profil tinggi”, menurut Filippo Cremonese, seorang peneliti yang terlibat dalam kompetisi CTF dengan tim Italia. makaroniyang mungkin merupakan nama tim bajak laut terbaik yang pernah ada.

Yang membuat cerita tentang bug ini menarik adalah ternyata ditemukan oleh karyawan Apple di produk Google, dan karena alasan tertentu karyawan Apple tersebut memutuskan untuk tidak melaporkan bug tersebut.

dalam laporan aslinya Pada 26 Maret, orang yang melaporkan bug tersebut mengatakan bahwa bug tersebut ditemukan oleh seseorang di tim COPY selama KKP Diselenggarakan oleh tim xhp. Orang tersebut, yang namanya tidak diungkapkan dalam laporan tersebut, mengatakan bahwa mereka memutuskan untuk melaporkannya meskipun mereka sendiri tidak menemukannya karena “mereka tidak 100% yakin bahwa hal itu telah dilaporkan ke tim Chromium.”

“Jadi saya ingin aman,” tulis orang itu.

“Karena Anda yang mengungkapkan masalah ini dan tidak ada duplikat, tampaknya tim yang menemukan masalah ini memilih untuk tidak mengungkapkannya kepada kami?” tulis seorang karyawan Google di komentar lain di laporan bug.

Bug diperbaiki pada 29 Maret, menurut laporan bug. Google memutuskan untuk memberikan hadiah bug sebesar $10.000 kepada orang yang melaporkannya, yang, sekali lagi, bukanlah orang yang menemukannya.

Pembaruan, 20 Juli, 14:30 ET: Kisah ini telah diperbarui untuk menyertakan pesan Perselisihan yang diposting oleh orang yang mengaku pertama kali menemukan bug tersebut.