Google publica un bug antes de que Microsoft pueda arreglarlo, ¿está poniendo en peligro a los usuarios?

La relación entre Google y Microsoft es algo complicada; aunque inicialmente no tenían mucho que ver la una con la otra, poco a poco ambas compañías han ido pisándose mutuamente conforme han expandido sus negocios.

Pero, ¿está Google pasándose de la raya en esta competencia? Hay quien piensa así viendo que no tiene piedad al hacer públicos bugs de productos de Microsoft. Incluso si al hacerlo, podría poner en peligro a los usuarios.

El último caso afecta a Edge, el navegador de Microsoft y rival directo de Chrome. Google ha hecho público un “bug de día cero”, lo que significa que aún no existe un parche que lo solucione.

Google publica bug sin solucionar, ¿se ha pasado de la raya?

El bug a la tecnología ACG de Edge, con la que intenta proteger al usuario frente a la ejecución arbitraria de código. El problema es que, por la manera en la que funciona este sistema, es posible que un atacante pueda predecir la siguiente dirección de memoria que se va a usar; el atacante podría entonces cargar código en esa dirección de memoria para que el navegador lo ejecute.

En otras palabras, es un bug que abre la puerta a que un atacante ejecute malware en nuestro equipo si visitamos una página usando Edge. No es fácil, y de ahí que sea considerado como un bug de gravedad media según Microsoft, pero no deja de ser un bug.

microsoft-edge

Google cuenta con un equipo dedicado a buscar vulnerabilidades en la Web, y descubrió este bug de Edge; informó a Microsoft el pasado noviembre de 2017. Sin embargo, Google tiene una política muy dura en lo que respecta a los bugs que descubre: si en noventa días el bug no está solucionado, lo hace público.

Microsoft incluso recibió un “periodo de gracia” de catorce días adicionales, debido a la complejidad del bug. Sin embargo, el equipo de Microsoft no ha podido lanzar aún una actualización; pese a esto, Google decidió el pasado viernes publicar el bug.

Edge es ahora menos seguro por culpa de esta decisión; y la gran duda es si Google ha hecho bien en publicar el bug. Hay argumentos a favor y en contra. Por una parte, de esta manera Google mete prisa a los desarrolladores para que arreglen su software; pero por otra, los grandes damnificados pueden ser los usuarios, que se encuentran de golpe indefensos frente a una grave vulnerabilidad.

No es la primera vez que Google hace lo mismo; en 2016 también publicó un bug de Windows 10 que aún no tenía solución.