A Chrome sürgős, nulladik napi javítási problémát jelent – ​​frissítse most!

A Google egy csomó biztonsági javítást adott ki a Chrome és a Chromium böngészőkódhoz a hét elején…

…csak az Avast kiberbiztonsági vállalat kutatóitól még ugyanazon a napon kap egy sebezhetőségi jelentést.

A Google válasza az volt, hogy kiszorítja újabb frissítés amint lehetett: egy hibajavítás foglalkozik CVE-2022-3723, a Google szokásos, nem tudjuk-megerősíteni-sem-tagadni a törvényességét, mondván:

A Google tudomása van azokról a jelentésekről, amelyek szerint a CVE-2022-3723 kizsákmányolása létezik a vadonban.

(Az Apple rendszeresen használja az OMG-mindenki-0-napos értesítés hasonlóan elválasztott ízét, olyan szavakat használva, hogy „tudatában van egy jelentésnek, amely szerint [egy] problémát aktívan kihasználtak”.)

Ez a Chrome-frissítés azt jelenti, hogy most egy verziószámot keres 107.0.5304.87 vagy későbbi.

Zavarba ejtő, hogy ez az a verziószám, ami várható Mac vagy Linux rendszeren, míg a Windows-felhasználók megkaphatják 107.0.5304.87 or 107.0.5304.88, és nem, nem tudjuk, miért van ott két különböző szám.

Ennek a biztonsági résnek az okát a következőképpen írták le „Típuszavar a V8-ban”, ami azt jelenti, hogy „egy kihasználható hiba volt a JavaScript-motorban, amelyet nem megbízható kódok és nem megbízható adatok válthatnak ki, amelyek látszólag ártatlanul érkeztek kívülről”.

Lazán szólva ez azt jelenti, hogy szinte biztos, hogy pusztán egy csapdába esett webhely meglátogatása és megtekintése – olyasmi, aminek önmagában nem szabad kárt okoznia – elég lehet a szélhámos kód elindításához és a rosszindulatú programok beültetéséhez az eszközére, felugró ablakok nélkül. vagy egyéb letöltési figyelmeztetések.

Ez az, amit a kiberbűnözés szlengben a drive-by telepítés.

„Tisztában van a jelentésekkel”

Tekintettel arra, hogy egy kiberbiztonsági cég jelentette ezt a sérülékenységet, és az egyhibás frissítés szinte azonnali közzététele alapján feltételezzük, hogy a hibát egy ügyfél számítógépére vagy hálózatába való behatolás aktív vizsgálata során tárták fel.

Egy váratlan vagy szokatlan betörés után, amikor a nyilvánvaló belépési útvonalak egyszerűen nem jelennek meg a naplókban, a fenyegetésvadászok általában a rendelkezésükre álló észlelési és válaszadási naplók apró részleteihez fordulnak, és megpróbálják összerakni a rendszert. szintű sajátosságai a történteknek.

Tekintettel arra, hogy a böngésző távoli kódvégrehajtási (RCE) kihasználása gyakran olyan nem megbízható kód futtatását jelenti, amely nem megbízható forrásból érkezett váratlan módon, és egy új végrehajtási szálat indított el, amely általában nem jelenik meg a naplókban…

…a kellően részletes igazságügyi „fenyegetés-válasz” adatokhoz való hozzáférés nemcsak azt fedi fel, hogy a bűnözők hogyan jutottak be, hanem azt is, hogy a rendszerben pontosan hol és hogyan tudták megkerülni a normál esetben érvényben lévő biztonsági védelmet.

Egyszerűen fogalmazva, ha visszafelé dolgozik egy olyan környezetben, amelyben újra és újra lejátszhatja a támadást, és figyelheti, hogyan bontakozik ki, gyakran felfedi a kihasználható sebezhetőség helyét, ha nem is a pontos működését.

És ahogy el tudod képzelni, a tű biztonságos eltávolítása a szénakazalból sokkal, de sokkal könnyebb, ha van egy térkép a szénakazalban lévő összes hegyes fémtárgyról.

Röviden, ez alatt azt értjük, hogy amikor a Google azt mondja, hogy „tudatában van a jelentéseknek” a Chrome valós életben való kihasználásával indított támadásról, készek vagyunk feltételezni, hogy ezt lefordíthatja a következőre: „a hiba valós, és tényleg kihasználható, de mivel mi magunk nem a való életben vizsgáltuk a feltört rendszert, továbbra is biztonságos terepen vagyunk, ha nem jövünk ki egyenesen és nem mondjuk: "Hé, mindenki, ez egy 0 nap". ”

A jó hír az efféle hibafelderítésekkel kapcsolatban, hogy valószínűleg azért bontakoztak ki így, mert a támadók titokban akarták tartani a sebezhetőséget és a kiaknázásához szükséges trükköket is, tudván, hogy a technikával való kérkedés vagy annak túlzott használata felgyorsítaná annak felfedezését. így lerövidíti értékét a célzott támadásokban.

A mai böngészők RCE kihasználásai ördögien bonyolultak lehetnek felfedezni, és költségesek is lehetnek, ha figyelembe vesszük, hogy az olyan szervezetek, mint a Mozilla, a Microsoft, az Apple és a Google mekkora erőfeszítést tesznek böngészőik megerősítésére a nem kívánt kódvégrehajtási trükkök ellen.

Más szóval, a Google gyors javítási ideje, és az a tény, hogy a legtöbb felhasználó gyorsan és automatikusan (vagy legalábbis félautomatikusan) megkapja a frissítést, azt jelenti, hogy a többiek nem csak utolérhetjük a csalókat, de vissza is térhetünk előttük.

Mit kell tenni?

Annak ellenére, hogy a Chrome valószínűleg frissíti magát, mindig javasoljuk, hogy ellenőrizze.

Mint fentebb említettük, keres 107.0.5304.87 (Mac és Linux), vagy valamelyik 107.0.5304.87 és a 107.0.5304.88 (Ablakok).

Felhasználás Több > Segítség > A Google Chrome > Frissítse a Google Chrome-ot.

A böngésző nyílt forráskódú Chromium íze, legalábbis Linuxon, szintén jelenleg verzióban van 107.0.5304.87.

(Ha a Chromiumot Linuxon vagy valamelyik BSD-n használja, előfordulhat, hogy vissza kell néznie a disztribúció készítőjével a legújabb verzió beszerzéséhez.)

Nem vagyunk biztosak abban, hogy ez a Chrome Android-verzióját érinti-e, és ha igen, milyen verziószámra kell figyelni.

A Google oldalán megtekintheti az Android rendszerhez készült frissítésekkel kapcsolatos bejelentéseket Chrome kiadások blog.

Feltételezzük, hogy az iOS és iPadOS rendszeren futó Chrome-alapú böngészőket ez nem érinti, mivel az összes Apple App Store böngészőnek az Apple WebKit böngészési alrendszerét kell használnia, amely nem használja a Google V8 JavaScript motorját.

Érdekes módon a cikk írásakor [2022-10-29T14:00:00Z] a Microsoft Edge-re vonatkozó kiadási megjegyzései egy 2022-10-27-i frissítést írtak le (két nappal azután, hogy a hibát jelentették a kutatók), de nem felsorolja a CVE-2022-3723 biztonsági javítások egyikét abban a buildben, amely számozott 107.0.1418.24.

Ezért feltételezzük, hogy az ennél nagyobb Edge-verziók keresése azt jelzi, hogy a Microsoft frissítést tett közzé e lyuk ellen.

Tarthatja szemmel az Edge javításokat a Microsofton keresztül Edge biztonsági frissítések cimre.

---