Google patch "in-the-wild" Chrome zero-day - aggiorna ora!

L'ultimo aggiornamento di Google al browser Chrome risolve un numero variabile di bug, a seconda che tu lo utilizzi Android, Windows o Mace a seconda che tu stia utilizzando il "canale stabile" o il "canale stabile esteso".

Non preoccuparti se trovi confusa la pletora di post del blog di Google...

…lo abbiamo fatto anche noi, quindi abbiamo provato a fornire un riepilogo completo di seguito.

Il Canale stabile è la versione più recente, incluse tutte le nuove funzionalità del browser, attualmente numerate Chrome 103.

Il Canale stabile esteso si identifica come Chrome 102e non dispone delle funzionalità più recenti, ma include le ultime correzioni di sicurezza.

Tre bug con numero CVE sono elencati nei tre bollettini sopra elencati:

• CVE-2022-2294: Overflow del buffer in WebRTC. Un buco zero-day, già noto alla comunità del crimine informatico e attivamente sfruttato in natura. Questo bug appare in tutte le versioni sopra elencate: Android, Windows e Mac, sia nella versione "stabile" che "stabile estesa". WebRTC è l'abbreviazione di "comunicazione web in tempo reale", utilizzata da molti servizi di condivisione audio e video che utilizzi, come quelli per riunioni remote, webinar e telefonate online.
• CVE-2022-2295: Digita confusione in V8. Il termine V8 si riferisce al motore JavaScript di Google, utilizzato da qualsiasi sito web che includa codice JavaScript, che, nel 2022, è presente in quasi tutti i siti web in circolazione. Questo bug appare in Android, Windows e Mac, ma apparentemente solo nella versione Chrome 103 ("canale stabile").
• CVE-2022-2296: Utilizzalo dopo-gratuitamente nella shell di Chrome OS. Questo è elencato come applicabile al "canale stabile" su Windows e Mac, sebbene la shell di Chrome OS sia, come suggerisce il nome, parte di Chrome OS, che non è basato né su Windows né su Mac.

Inoltre, Google ha corretto una serie di bug senza numero CVE etichettati collettivamente con ID bug 1341569.

Queste patch forniscono una serie di correzioni proattive basate su "audit interni, fuzzing e altre iniziative", il che molto probabilmente significa che non erano precedentemente note a nessun altro, e quindi non sono mai state (e non possono più essere) trasformate in zero- buchi giornalieri, che è una buona notizia.

Gli utenti Linux non sono ancora stati menzionati nei bollettini di questo mese, ma non è chiaro se ciò sia dovuto al fatto che nessuno di questi bug si applica al codice base di Linux, perché le patch non sono ancora pronte per Linux, o perché i bug non sono ancora disponibili. considerato abbastanza importante da ottenere correzioni specifiche per Linux.

Spiegazione dei tipi di bug

Per fornirti un glossario molto rapido delle importanti categorie di bug sopra riportate:

• Overflow del buffer. Ciò significa che i dati forniti da un utente malintenzionato vengono scaricati in un blocco di memoria che non è abbastanza grande per la quantità inviata. Se i dati aggiuntivi finiscono per “versarsi” nello spazio di memoria già utilizzato da altre parti del software, potrebbero (o in questo caso lo fanno) influenzare deliberatamente e proditoriamente il comportamento del browser.
• Confusione nei tipi. Immagina di fornire dati come il "prezzo del prodotto" che il browser dovrebbe trattare come un semplice numero. Ora immagina di poter in seguito ingannare il browser facendogli utilizzare il numero che hai appena fornito come se fosse invece un indirizzo di memoria o una stringa di testo. Un numero che ha superato il controllo per assicurarsi che avesse un prezzo legale probabilmente non è un indirizzo di memoria o una stringa di testo valido e quindi non sarebbe stato accettato senza lo stratagemma di introdurlo di nascosto sotto le spoglie di un tipo di dati diverso. Inserendo dati "validi quando controllati ma non validi quando utilizzati", un utente malintenzionato potrebbe sovvertire deliberatamente il comportamento del browser.
• Utilizzare dopo-libero. Ciò significa che una parte del browser continua erroneamente a utilizzare un blocco di memoria dopo che questo è stato restituito al sistema per essere riallocato altrove. Di conseguenza, i dati la cui sicurezza è già stata controllata (dal codice che presuppone che “possiedano” la memoria interessata) potrebbero finire subdolamente modificati appena prima di essere utilizzati, influenzando così pericolosamente il comportamento del browser.

Cosa fare?

Probabilmente Chrome si aggiornerà da solo, ma ti consigliamo sempre di controllare comunque.

Su Windows e Mac, usa Più > Aiuto > Informazioni su Google Chrome > Aggiorna Google Chrome.

Su Android, controlla che le app del Play Store siano aggiornate.

Dopo l'aggiornamento, stai cercando la versione 102.0.5005.148 se utilizzi la versione "stabile estesa"; 103.0.5060.114 se sei sulla strada “stabile”; E 103.0.5060.71 su Android.

Su Linux, non siamo sicuri a quale numero di versione prestare attenzione, ma potresti anche farlo Aiuto > WRI > Aggiornanento ballo di sicurezza comunque, per assicurarti di avere subito l'ultima versione disponibile.