Empleado de Apple encuentra un día cero, pero no lo reporta según Google
Google arregló un día cero en Chrome que fue encontrado por un empleado de Apple, según los comentarios en el informe de error oficial. Si bien el error en sí no es de interés periodístico, las circunstancias de cómo se encontró este error y se informó a Google son, por decir lo menos, peculiares.
Según un empleado de Google, el error fue encontrado originalmente por un empleado de Apple que participaba en una competencia de piratería Capture The Flag (CTF) en marzo. Pero ese empleado de Apple no informó el error, que en ese momento era un día cero, lo que significa que Google no estaba al tanto del error y aún no se había emitido ningún parche. En cambio, el error fue informado por otra persona que también participó en la competencia, en realidad no encontró el error por sí mismo y ni siquiera estaba en el equipo que lo encontró.
“Este problema fue informado por sisu del equipo CTF HXP y descubierto por un miembro de Apple Security Engineering and Architecture (SEAR) durante HXP CTF 2022”, escribió el empleado de Google.
No está claro por qué el empleado de Apple no informó sobre el error en marzo.
Apple no respondió a una solicitud de comentarios.
El portavoz de Google, Ed Fernandez, le dijo a TechCrunch en un correo electrónico que «nuestro entendimiento es público en el error».
«Nosotros [recommend] Comunicándome con Apple para obtener más detalles”, escribió Fernández.
TechCrunch no pudo encontrar una manera de contactar al equipo de CTF, llamado COPY, cuyo miembro encontró originalmente el error, ni a la persona llamada sisu.
No es raro que los equipos de la CTF y los jugadores de la CTF encuentren días cero durante las competencias, especialmente en desafíos de este tipo y competencias que son de “alto perfil”, según Filippo Cremonese, un investigador que participa en las competencias de la CTF con el equipo italiano. mhackeronique por cierto puede ser el mejor nombre de equipo de hackers de todos los tiempos.
Lo que hace que la historia de este error sea interesante es que aparentemente fue encontrado por un empleado de Apple en un producto de Google y, por alguna razón, ese empleado de Apple decidió no informar el error.
En el informe original el 26 de marzo, la persona que lo informó dijo que alguien del equipo encontró el error COPY durante un CTF organizado por el equipo xhp. La persona, cuyo nombre no se revela en el informe, dijo que decidió denunciarlo incluso si no lo encontró por sí mismo porque «no estaba 100% seguro de que se informara al equipo de cromo».
“Así que quería estar a salvo”, escribió la persona.
«Dado que usted es quien revela este problema y no hay duplicados, ¿parece que el equipo que descubrió este problema ha optado por no revelarnos?» el empleado de Google escribió en otro comentario al informe de error.
El error se solucionó el 29 de marzo, según el informe de error. Google decidió otorgar $ 10,000 como recompensa por error a la persona que lo informó, quien, nuevamente, no fue quien lo encontró.
