了解 Google Project Zero 在軟體安全中的作用
Google Project Zero 是一個傑出的安全團隊，致力於識別包括 Google 在內的各家供應商軟體產品中的漏洞。他們獨特的揭露流程包括私下通知供應商安全問題，並給予供應商 90 天的時間來開發和發布修補程式。在某些情況下，可能會提供額外的 30 天寬限期。
這種方法背後的原理很簡單：當安全威脅即將被公開揭露時，企業會受到激勵，加快回應速度。多年來，Project Zero 已記錄了多個平台的漏洞，包括 Windows、ChromeOS 和 Linux CentOS。最近，該團隊因在一個廣泛使用的 GNOME 庫中發現一個安全問題而登上頭條新聞。
Libxslt：GNOME 的關鍵組件
libxslt函式庫基於 libxml2 框架構建，是 GNOME 專案下開源軟體生態系統的重要組成部分。此程式庫透過可擴充樣式表語言轉換 (XSLT) 實現 XML 文件的轉換。其應用範圍廣泛，從將 XML 轉換為 Web 瀏覽器可用的 HTML，到在辦公室軟體中渲染內容，不一而足。值得注意的是，它已被整合到各種應用程式中，包括 PHP 和 Python Web 實作、Doxygen、Gnumeric 以及 GNOME 幫助系統。
近期發現的漏洞
幾個月前，Google Project Zero 發現了 libxslt 中的一個嚴重漏洞，並於 2025 年 5 月 6 日私下將此問題告知了 GNOME 團隊。作為其標準協議的一部分，他們提供了 90 天的修復期。如果您對技術細節感興趣，可以在此處找到有關漏洞的詳細資訊。總而言之，該漏洞是一個釋放後使用 (UAF) 問題，源自於特定條件下對結果值樹 (RVT) 的不當管理。此漏洞存在重大風險，可能使系統面臨惡意程式碼執行的風險，並導致因段錯誤而導致的軟體崩潰。
Google Project Zero 指定的嚴重性等級反映了該缺陷的潛在影響：優先級分類為 P2，嚴重性等級為 S2，表明雖然該問題屬於中等嚴重程度，但它可能會對相關應用程式產生重大影響。
GNOME 的持續響應
為了回應 Project Zero 的發現，GNOME 也密切追蹤了所報告的 bug，並在標準揭露期結束後將其公開。在查看討論帖後發現，雖然正在努力創建補丁，但由於一些可能破壞其他組件的複雜因素，進展受到了阻礙。此外，libxslt 缺乏積極的維護者也令人擔憂，據報道，其原始創建者 Daniel Veillard 已數月未回覆。這增加了上游補丁可能永遠無法實現的可能性，最終導致下游系統不得不「自生自滅」。
結論：情勢複雜
目前圍繞該漏洞的情況錯綜複雜。谷歌在90天期限過後公開揭露了該漏洞，而GNOME卻未提出異議，凸顯了一個嚴峻的現實。由於缺乏專門的維護人員，該專案只能承受未解決問題的後果，而該漏洞目前已公開發布，並附帶概念驗證 (PoC) 程式碼，這給網路犯罪分子利用該漏洞帶來了巨大的風險。
發佈留言