原标题：90 天期限已过，谷歌研究团队公开曝光 Chrome OS 笔记本高危严重性 USB 漏洞
IT之家 5月27日消息，据 Neowin 报道，Project Zero 是 Google 的团队，负责发现不同产品中的安全漏洞，然后私下将它们报告给相应的供应商。并提供了 90 天的最后期限，以便在问题公开之前对其进行修补。在某些情况下，也可能会提供 14 天的宽限期。
Google Project Zero 此前曾报告过 Google 自己的产品以及属于其他产品的重大问题，例如 Windows、iPhone、Qualcomm Adreno GPU、GitHub 等。现在，在相关团队未能在规定的90天内修复之后，该团队公开披露了 Chrome OS 中的一个错误 Bug。
问题涉及 Chrome OS 在设备锁定时如何处理 USB 设备。本质上，Chrome OS 使用 USBGuard 为 USB 设备配置允许列表和阻止列表。但是，此框架的错误配置可能导致未经身份验证的 USB 设备能够访问 PC 的内核和存储。
正如 Google Project Zero 安全研究员 Jann Horn 所描述的那样，Chrome OS 中的 USBGuard 有一个阻止列表，它不会在锁定的屏幕上使用特定的类接口描述符来验证 USB 设备。但是，在此验证之后，将允许所有其他接口。
这意味着，虽然未经身份验证的 USB 设备将在锁定屏幕上被正确阻止，但其他设备可以模拟大容量存储设备，修改攻击者内核使其不显示为 USB 设备，并通过身份验证。这是因为 USB 类对内核无关紧要，因此它也允许从看似经过身份验证的设备进行修改。Jann Horn 指出：
“除了不属于这些 USB 接口类设备的驱动程序中存在大量攻击面的问题之外，这种方法还有另一个问题：内核通常不关心设备声称属于哪个 USB 类。USB 驱动程序倾向于工作的方式，即使对于标准化协议，驱动程序以低优先级指定它希望使用适当的 USB 接口类绑定到符合标准的设备，但也以高优先级指定它希望根据 Vendor ID 和 Product ID 绑定到特定的 USB 设备，而不关心它们的 USB 接口类。
[...] 如果我们使用具有适当硬件的 Linux 设备（我使用的是 NET2380 开发板，但你也可以使用解锁的 Pixel 手机或 Raspberry Pi Zero W 或类似的东西）来模拟 USB 大容量存储设备，使用 (this)，并在攻击者内核中修补一行，使其声称是广告牌，而不是存储设备。”
此问题被标记为高危严重性漏洞，并于2月24日私下向 Chrome OS 团队报告。然而，在对该漏洞进行分类后，该团队将其指定为低严重性漏洞，并在3月1日表示将通过匹配来解决问题基于驱动程序而不是类接口描述符。5月11日，Chrome OS 团队提供了进度更新，但由于无法在规定的90天内修复该漏洞，该问题于5月24日被公开曝光。
目前尚不清楚补丁何时推出，但需要注意的是，这是一个本地漏洞，需要攻击者手动插入 USB 来篡改设备及其内核，不能被远程利用。
,90天刻日已过 谷歌陪组词 研究团队公开曝光笔记本高危严重性裂痕相关：
苹果供给链公司“越南开花”图 源丨图虫作 者丨张赛男,实习生谢韫力 编 辑丨巫燕玲在全球疫情催化下，苹果对产业链布局的思路正在发生变化。天风国际分析师郭明錤近日在社交平台表示，AirPods Pro 2将于2022年下半年在越南开始量产。这会是苹果在中国以外的地区，大规模生产主要产品的案例。其背后折射出的苹果供应链策略的变化，无疑是重要的信号。随着苹果产业链布局风向的变化，作为苹果的重要合作伙伴——A股果链公司也在未雨绸缪。21世纪资本研..
“小而美”时代到来了么？｜钛空时刻一本是关于“适度”的经济学为什么冰河时代包括恐龙在内的巨无霸型动植物都灭绝了，而蜥蜴、小型鱼类活了下来？这个被生物进化理论解释过的问题，其实在经济学领域，也有类似的论证和讨论。经典畅销经济学论述《小的是美好的》就是讨论的这个问题，这本书的作者是英籍德国人，世界知名的经济学者和企业家，被后人尊称为“可持续发展的先知”E.F.舒马赫（Schumacher,E .F）这是一本影响了战后德国的经济建设和发展的著作，20世..
马斯克称其“魔鬼”，ESG是“圈套”吗？特斯拉CEO埃隆·马斯克针对ESG评级的公开指责正愈演愈烈。继今年4月份马斯克在推特上公开指责企业ESG评级是“魔鬼的化身”后，5月19日，马斯克继续发推炮轰，“标普500指数把埃克森美孚列为ESG表现最好的10家企业之一，而特斯拉甚至没上榜。ESG就是一个骗局，成了社会正义伪君子们的武器。”“魔鬼”、“骗局”，为什么旨在评估企业可持续发展性和长期回报能力的ESG评级在马斯克眼里如此不堪？因为他认为特斯拉并未获得公允的ESG..
元宇宙：一枚仍在空中翻转的硬币新华社记者潘德鑫元宇宙，是风口还是“虎口”，是机会还是“泡沫”？26日举办的2022中国国际大数据产业博览会上，多位业界专家、企业代表就此展开了深入探讨。他们认为，元宇宙犹如一枚抛向空中、仍在急剧翻转、尚未落地的硬币。浪潮已来对于元宇宙的概念和内涵，业界尚无定论。较常见提法是“利用科技手段进行链接与创造的，与现实世界映射与交互的虚拟世界，具备新型社会体系的数字生活空间”。有专家形象比喻：“元宇宙能让人..
想要解脱宁德时代？蔚来：先投两个亿试试宁德时代的大客户之一——蔚来要开始研究生产电芯了，这真是一个值得警惕的信号。近日，上海企事业单位生态环境信息服务平台发布了关于蔚来汽车新建研发项目的公示。蔚来汽车提交的环评报告显示，蔚来计划在上海市嘉定区安亭镇新建锂离子电芯、电池包研发和试制项目，拟建设31个研发实验室、1条锂离子电芯试制线和1条电池包pack，其中31个研发实验室主要从事锂离子电芯和电池包的研发。电芯试制线和电池包pack线则主要从事锂离子..
贾跃亭竖大拇指点赞 对标迈巴赫的FF 91订单量仅401份法拉第未来（FF）于今年2月份正式发布了旗下首款车型FF 91的量产版，而据官方消息，其将于今年第三季度开始量产。那么三个月快过去了，FF 91的成绩如何呢？近日，FF提交了2022年第一季度财报，其中赫然显示FF 91的订单量为401份。而且更令人震惊，即便是这401份也未必能够成为真正的实车订单，因为FF的报告明确说明，这401份订单收取的是订金，而不是定金，支持全额退款。至于订金金额，FF 91创始版需5000美元，普通版需1500..
风声｜用医保基金来支出全员核酸，国家医保局为何说不作者｜傅蔚冈日前，据《第一财经》报道，国家医保局已向地方发函，函件的由头是南方某省请示可否用医保基金支付大规模人群核酸检测费用，国家医保局回复：“不符合现行医保政策规定”，并要求已实行地区立即整改。据悉，该文件抄送31个省市医保部门。面对常态化的核酸检测，费用到底该由谁来承担？核酸检测费用自新冠疫情发生以来就一直存在，只不过随着核酸检测的常态化，这个问题变得越来越突出了。此前东吴证券的一个研究报告..
儿童读物乱象丛生：我们的孩子都在读什么？“米小圈”拍剧了。这个脸蛋圆圆，头顶支棱起一撮闪电形头发，贪吃又贪玩的小孩，在卖出17亿码洋，拥有《米小圈》杂志，又登上戏剧舞台后，今年5月9日，少儿情景喜剧《米小圈上学记》正式杀青。《米小圈上学记》是儿童文学作家北猫专为小学生创作的故事，在故事里，米小圈把上学时的趣事、烦恼一一记录下来，这是一个孩子在学校成长的点滴经历。因为叙事诙谐幽默，贴近真实生活，成为少儿群体中的现象级畅销书和爆款IP。但就在一..
北京金准医学磨练尝试室涉违法细节披露北京金准医学检验实验室违规对多管样本进行3管混管检测，5月27日，在北京市新型冠状病毒肺炎疫情防控工作第347场新闻发布会上，市卫健委副主任、新闻发言人李昂介绍，近期，本市开展了多轮次的区域核酸筛查，全市各级各类核酸检测机构，包括国家公共实验室、市区核酸检测基地、第三方检测机构等充分调动力量，完成了多轮次核酸检测任务，为疫情防控各项决策提供了依据。但是，在近期的监督检查中发现，个别核酸检测机构存在严重..
北京今日新增20例本土传染者 无社接见会面筛查人员5月27日，在北京市新型冠状病毒肺炎疫情防控工作第347场新闻发布会上，市疾控中心副主任刘晓峰介绍，5月26日0时至24时，新增本土新冠肺炎病毒感染者27例，海淀区13例，丰台区6例，朝阳区4例，东城区、西城区、房山区、昌平区各1例；普通型5例、轻型15例、无症状感染者7例；隔离观察人员17例，社会面筛查10例（海淀区6例，东城区、昌平区各1例，均已通报；丰台区2例，其中1例已通报）。另有2例无症状感染者转确诊病例已通报。5月2..