拖延数月：黑莓终于修复了QNX操作系统的BadAlloc安全漏洞

尽管企业通常不愿公开披露软件漏洞，但若没有外界的压力，终端软硬件客户很可能要等待很久，才能拿到官方的修复补丁。以黑莓为例，在美国国土安全部介入数月之后，该公司终于在本周二正式披露了位于其 QNX 操作系统中的一个 BadAlloc 安全漏洞。

（来自：BlackBerry 官网）

考虑到年迈的 QNX 操作系统有被大量工厂机械、医疗、铁路、汽车、甚至国际空间站上的部分设备所使用，若被被恶意行为者利用 BadAlloc 安全漏洞发起攻击，后果将不堪设想。

尴尬的是，尽管黑莓一直拖到本周才承认该漏洞，但微软安全研究人员早在今年 4 月份就发现了它，并向参与研究的公司进行了通报。

5 月，微软还在国土安全部网络安全与基础设施安全局（CISA）的帮助下公开披露了该漏洞。

Politico 援引内部消息人士的话称，在与联邦网络安全官员的会谈中，黑莓曾否认自家产品有受到 BadAlloc 安全漏洞的影响。此外即使无法识别整个 QNX 客户群，黑莓还是拒绝向公众披露该安全漏洞。

据说在最终同意于周二发出安全公告之前，该公司已就相关问题同 CISA 进行了反复讨论。现在，黑莓已经完成了 BadAlloc 安全漏洞的修复，并且正在敦促客户更新到最新版本的 QNX 软件。

庆幸的是，尽管 CISA 也发出了警告，但目前似乎并无迹象表明该漏洞有被人在野外积极利用。

（举报）