Google retter "in-the-wild" Chrome nul-dag – opdater nu!

Googles seneste opdatering til Chrome-browseren retter et varierende antal fejl, afhængigt af om du er tændt Android, Windows eller Mac, og afhængigt af om du kører den "stabile kanal" eller "udvidet stabil kanal".

Bare rolig, hvis du synes, at overfloden af ​​Google blogindlæg er forvirrende...

…det gjorde vi også, så vi har forsøgt at komme med et alt-i-en-resumé nedenfor.

Stabil kanal er den allernyeste version, inklusive alle nye browserfunktioner, i øjeblikket nummereret Chrome 103.

Udvidet stabil kanal identificerer sig som Chrome 102, og har ikke de nyeste funktioner, men har de seneste sikkerhedsrettelser.

Tre CVE-nummererede fejl er opført på tværs af de tre bulletiner, der er anført ovenfor:

• CVE-2022-2294: Bufferoverløb i WebRTC. Et nul-dages hul, allerede kendt af cyberkriminalitetsbroderskabet og aktivt udnyttet i naturen. Denne fejl vises i alle versioner, der er anført ovenfor: Android, Windows og Mac, i både "stabil" og "udvidet stabil" smag. WebRTC er en forkortelse for "web-realtidskommunikation", som bruges af mange lyd- og videodelingstjenester, du bruger, såsom dem til fjernmøder, webinarer og online telefonopkald.
• CVE-2022-2295: Typeforvirring i V8. Udtrykket V8 henviser til Googles JavaScript-motor, der bruges af ethvert websted, der indeholder JavaScript-kode, som i 2022 er næsten alle websteder derude. Denne fejl dukker op i Android, Windows og Mac, men tilsyneladende kun i Chrome 103-varianten ("stabil kanal").
• CVE-2022-2296: Brug-efter-gratis i Chrome OS Shell. Dette er angivet som gældende for den "stabile kanal" på Windows og Mac, selvom Chrome OS-skallen, som navnet antyder, er en del af Chrome OS, som hverken er Windows- eller Mac-baseret.

Derudover har Google patchet mod en masse ikke-CVE-nummererede fejl, der tilsammen er mærket med Fejl-id 1341569.

Disse patches giver en række proaktive rettelser baseret på "interne revisioner, fuzzing og andre initiativer", hvilket med stor sandsynlighed betyder, at de ikke tidligere var kendt af andre, og derfor aldrig blev (og ikke længere kan) blive omdannet til nul- daghuller, hvilket er godt nyt.

Linux-brugere har endnu ikke fået en omtale i denne måneds bulletiner, men det er ikke klart, om det er fordi ingen af ​​disse fejl gælder for Linux-kodebasen, fordi patcherne endnu ikke er helt klar til Linux, eller fordi fejlene ikke er anses for vigtigt nok til at få Linux-specifikke rettelser.

Fejltyper forklaret

For at give dig en meget hurtig ordliste over de vigtige fejlkategorier ovenfor:

• Bufferoverløb. Det betyder, at data leveret af en angriber bliver dumpet ind i en hukommelsesblok, der ikke er stor nok til den mængde, der blev sendt. Hvis de ekstra data ender med at "spilde over" til hukommelsesplads, der allerede bruges af andre dele af softwaren, kan det (eller i dette tilfælde gør det) bevidst og forræderisk påvirke browserens adfærd.
• Type forvirring. Forestil dig, at du leverer data såsom "pris på produkt", som browseren skal behandle som et simpelt tal. Forestil dig nu, at du senere kan narre browseren til at bruge det nummer, du lige har angivet, som om det var en hukommelsesadresse eller en tekststreng i stedet. Et nummer, der bestod kontrollen for at sikre, at det var lovlig pris, er sandsynligvis ikke en gyldig hukommelsesadresse eller tekststreng, og ville derfor ikke være blevet accepteret uden listen med at snige det ind under dække af en anden datatype. Ved at indlæse data, der er "gyldige-når-tjekket-men-ugyldige-når-bruges", kan en angriber bevidst undergrave browserens adfærd.
• Brug-efter-fri. Det betyder, at en del af browseren fejlagtigt fortsætter med at bruge en hukommelsesblok, efter at den er blevet afleveret tilbage til systemet til omfordeling et andet sted. Som et resultat heraf kan data, der allerede er tjekket for sikkerhed (af koden, der antager, at de "ejer" den pågældende hukommelse) ende med at blive lusket modificeret lige før det bliver brugt, og dermed forræderisk påvirke browserens adfærd.

Hvad skal jeg gøre?

Chrome vil sandsynligvis opdatere sig selv, men vi anbefaler altid at tjekke alligevel.

På Windows og Mac skal du bruge Mere > Hjælp > Om Google Chrome > Opdater Google Chrome.

På Android skal du kontrollere, at dine Play Butik-apps er opdaterede.

Efter opdatering leder du efter version 102.0.5005.148 hvis du er på "udvidet stabil" udgivelse; 103.0.5060.114 hvis du er på det "stabile" spor; og 103.0.5060.71 på Android.

På Linux er vi ikke sikre på, hvilket versionsnummer vi skal se efter, men du kan lige så godt gøre det Hjælp > Om > Opdatering sikkerhedsdans alligevel for at sikre, at du har den nyeste version tilgængelig lige nu.