پروژه زیرو (Zero) گوگل اینبار مرورگر اج (Edge) مایکروسافت را هدف قرار داده است. گوگل در طی این پروژه فرصت 90 روزه ای به مایکروسافت داده بود تا نسبت به رفع مشکلات امنیتی اج اقدام کند وگرنه گزارش کاملی از این مشکل را منتشر خواهد کرد.
گوگل یک بار دیگر مایکروسافت را نشانه گرفت و این بار مرورگر اج مد نظر است. بر اساس یک مقاله ۳۱ صفحه ای که از ایوان فراتریک، محقق امنیتی گوگل منتشر شده، سیستم پشتیبان کدها در مرورگر اج از ایمنی کافی جهت متوقف کردن حملات حرفه ای هکرها برخوردار نیست. این نخستین بار نیست که گوگل به مایکروسافت درباره یک آسیب پذیری جدی هشدار می‌دهد. در فوریه سال جاری میلادی، پژوهشگران گوگل از تکنیک بای‌پس پرده برداشتند که به هکرهای حرفه ای اجازه می‌داد تا سیستم کد امنیتی مایکروسافت را دور بزنند. مایکروسافت سال گذشته Arbitrary Code Guard یا به اختصار ACG با آپدیت توسعه دهندگان ویندوز 10 منتشر کرد که مانع از حمله هکرها و دسترسی به حافظه مرورگر می‌شدند.
این سیستم امنیتی موفق شد تا به هدفش که جلوگیری از ایجاد تغییر در حافظه اجرایی مرورگر بود برسد. با این همه، چون این سیستم با سیستم امنیتی کنترل جریان (CFG) در رابطه دوجانبه هستند، و با توجه به کاستی های CIG در مایکروسافت ویندوز، ACG به تنهایی برای محافظت در برابر حمله کنندگان حرفه‌ای کافی نیست و آنها می‌توانند از ساندباکس مرورگر گریخته و حمله های دیگری را پایه ریزی کنند.
— ایوان فراتریک
پس از اینکه مایکروسافت در مهلت ۹۰ روزه گوگل که در پروژه صفر تعیین کرده بود تا در صورت برطرف نشدن این مشکل آن را آشکار سازد، به تازگی گزارش کاملی از آن را منتشر کرد و گفت که این سیستم Bypss توسط هکرها چگونه کار می‌کند. فراتریک همچنین عنوان کرد که علیرغم اعمال تصحیحاتی از سوی مایکروسافت روی ACG، قابلیت موسوم به CFG همچنان برای حمله آسیب پذیر است.
هم‌اکنون، با وجود راه‌های bypass کنونی، bypass برای CFG در ویندوز کار سختی نیست. با این همه، مایکروسافت باید بتواند همه ضعف‌های CFG را برطرف کند، از جمله، سیستم نگهبانی برگشت جریان. اوضاع می‌تواند در طی چند سال آینده عوض شود. همچنان که مایکروسافت پیش از این نشان داده است که تمایل دارد چنین کاری را به سرانجام برساند، ما بر این باوریم که این برنامه بلند مدتشان است.
— ایوان فراتریک
به گفته ایوان فراتریک، پژوهشی که توسط او منتشر شد صرفا بر روی مرورگر مایکروسافت اج متمرکز شده است و مرورگرهای دیگر هم ممکن است هنگامی که سیستم « بیرون از فرایند JIT» پیاده سازی شود رفتار مشابهی از خود بروز دهند.
جدا از مشکلات مربوط به CFG، شکننده ترین بخش ACG، پیاده‌سازی سرور JIT است، که چندین مشکل در آن وجود دارد. از آنجایی که چنین سیستم پیاده سازی، هنوز جدید بوده و بنابراین وجود برخی مشکلات در آن انتظار می‌رود. مشکل بزرگتر این است که مرز امنیتی بین فرایند مطلب و فرایند JIT به اندازه کافی پیاده سازی نشده است.
—ایوان فراتریک
هنوز مایکروسافت در این باره هیچ بیانیه ای نداده است و از این رو باید چشم به راه بمانیم تا ببینیم که این کمپانی نظرات خوددرا درباره این مشکل بگوید.