去年8月，一位化名的安全研究员沙盒逃脱在 Twitter 上发布了针对 Windows 7 和 10 中未修补的安全漏洞的概念验证代码的消息。

后来确定为CVE-2018-8440，该问题是 Windows 任务计划程序高级本地过程调用 (ALPC) 功能的一个弱点，两周后微软在其2018年9月每月更新在它被利用了几天之后。

几周后，SandboxEscaper 带着第二个 Windows 零日概念验证回来了（于 2018 年 12 月修补）CVE-2018-8584），随后是 2018 年圣诞节的第三次（CVE-2019-0863，最终被利用，但直到 2019 年 5 月才得到修补）。

自 2015 年以来，SandboxEscaper 目前已披露了 21 个漏洞，这肯定会让人难以跟上，尤其是对 SandboxEscaper 来说。正如这位匿名研究员所说：

我丢了太多东西，懒得去追踪它们。

移动目标

将这一情况告诉微软，微软在本月的 Windows 更新中发现自己修复了三个零日漏洞（CVE-2019-1069,CVE-2019-1053， 和CVE-2019-0973）仅在 2019 年 5 月就由 SandboxEscaper 发布。

但它是CVE-2019-0841于 2019 年 4 月修复，这被证明是微软面临的最大挑战——随着 SandboxEscaper 连续揭露了微软补丁的绕过方式，一开始的“错误”变成了一场传奇。

首先出现了一个名为 CVE-2019-0841-BYPASS 的漏洞，该漏洞已于本周修补为CVE-2019-1064。

然后来了一个绕过补丁用于绕过原始漏洞的补丁。

补丁的补丁很少见；补丁补丁补丁的情况仍然很少见，因此当 Microsot 修复这个最新漏洞（可能在 2019 年 7 月的补丁星期二更新中）时，它肯定会希望它真的已经解决了这个问题。

为什么 SandboxEscaper 花费如此多的精力以明显不负责任的方式发布有关漏洞的信息？只有她自己能说，但据报道，她的公开声明包括现已删除的 GitHub 帖子，表示希望以 6 万美元的价格出售缺陷，并承认向“仇恨美国的人”提供了漏洞。

当然，除非漏洞无法以一种简洁、外科手术的方式发挥作用——据 SandboxEscaper 所知，它们的漏洞最终可能会被用来攻击任何人，包括对美国不友好的国家。

不负责任的披露会伤害每个人。

Naked Security 对 6 月 Windows 的分析周二补丁可以在这里找到。