去年8月，一位化名的安全研究員沙盒逃脫在 Twitter 上發布了針對 Windows 7 和 10 中未修補的安全漏洞的概念驗證程式碼的訊息。

後來確定為CVE-2018-8440，該問題是 Windows 任務計劃程序高級本地過程呼叫 (ALPC) 功能的一個弱點，兩週後微軟在其2018年9月每月更新在它被利用了幾天之後。

幾週後，SandboxEscaper 帶著第二個 Windows 零日概念驗證回來了（於 2018 年 12 月修補）CVE-2018-8584），隨後是 2018 年聖誕節的第三次（CVE-2019-0863，最終被利用，但直到 2019 年 5 月才得到修補）。

自 2015 年以來，SandboxEscaper 目前已揭露了 21 個漏洞，這肯定會讓人難以跟上，尤其是對 SandboxEscaper 來說。正如這位匿名研究員所說：

我丟了太多東西，懶得追蹤它們。

移動目標

將這一情況告訴微軟，微軟在本月的 Windows 更新中發現自己修復了三個零日漏洞（CVE-2019-1069,CVE-2019-1053， 和CVE-2019-0973）僅在 2019 年 5 月就由 SandboxEscaper 發行。

但它是CVE-2019-0841於 2019 年 4 月修復，這被證明是微軟面臨的最大挑戰——隨著 SandboxEscaper 連續揭露了微軟補丁的繞過方式，一開始的「錯誤」變成了一場傳奇。

首先出現了一個名為 CVE-2019-0841-BYPASS 的漏洞，該漏洞已於本週修補為CVE-2019-1064。

然後來了一個繞過補丁用於繞過原始漏洞的修補程式。

補丁的補丁很少見；補丁修補程式的情況仍然很少見，因此當 Microsot 修復這個最新漏洞（可能在 2019 年 7 月的修補程式星期二更新中）時，它肯定會希望它真的已經解決了這個問題。

為什麼 SandboxEscaper 花費如此多的精力以明顯不負責任的方式發布有關漏洞的資訊？只有她自己能說，但據報道，她的公開聲明包括現已刪除的 GitHub 帖子，表示希望以 6 萬美元的價格出售缺陷，並承認向“仇恨美國的人”提供了漏洞。

當然，除非漏洞無法以簡潔、外科手術的方式發揮作用——據 SandboxEscaper 所知，它們的漏洞最終可能會被用來攻擊任何人，包括對美國不友善的國家。

不負責任的披露會傷害每個人。

Naked Security 對 6 月 Windows 的分析週二補丁可以在這裡找到。