Google oppdateringer «in-the-wild» Chrome zero-day – oppdater nå!

Googles siste oppdatering til Chrome-nettleseren fikser et varierende antall feil, avhengig av om du er på Android, Windows eller Mac, og avhengig av om du kjører den "stabile kanalen" eller "utvidet stabil kanal".

Ikke bekymre deg hvis du synes mengden av Google-blogginnlegg er forvirrende ...

…det gjorde vi også, så vi har forsøkt å komme med en alt-i-ett-sammendrag nedenfor.

De Stabil kanal er den aller nyeste versjonen, inkludert alle nye nettleserfunksjoner, nummerert for øyeblikket Chrome 103.

De Utvidet stabil kanal identifiserer seg som Chrome 102, og har ikke de nyeste funksjonene, men har de nyeste sikkerhetsfiksene.

Tre CVE-nummererte feil er oppført på tvers av de tre bulletinene som er oppført ovenfor:

• CVE-2022-2294: Bufferoverflyt i WebRTC. Et null-dagers hull, allerede kjent for nettkriminalitet og aktivt utnyttet i naturen. Denne feilen vises i alle versjoner som er oppført ovenfor: Android, Windows og Mac, i både "stabil" og "utvidet stabil" smaker. WebRTC er en forkortelse for "web sanntidskommunikasjon", som brukes av mange lyd- og videodelingstjenester du bruker, for eksempel de for eksterne møter, webinarer og telefonsamtaler på nettet.
• CVE-2022-2295: Typeforvirring i V8. Begrepet V8 refererer til Googles JavaScript-motor, brukt av ethvert nettsted som inkluderer JavaScript-kode, som i 2022 er nesten alle nettsteder der ute. Denne feilen vises i Android, Windows og Mac, men tilsynelatende bare i Chrome 103-smaken ("stabil kanal").
• CVE-2022-2296: Bruk-etter-gratis i Chrome OS Shell. Dette er oppført som gjeldende for den "stabile kanalen" på Windows og Mac, selv om Chrome OS-skallet er, som navnet antyder, en del av Chrome OS, som verken er Windows- eller Mac-basert.

I tillegg har Google lappet mot en haug med ikke-CVE-nummererte feil som er samlet merket med Feil -ID 1341569.

Disse oppdateringene gir en rekke proaktive rettelser basert på "interne revisjoner, fuzzing og andre initiativer", noe som sannsynligvis betyr at de ikke tidligere var kjent for noen andre, og derfor aldri ble (og ikke lenger kan bli) omgjort til null- daghull, som er gode nyheter.

Linux-brukere har ikke nevnt noe i denne månedens bulletiner ennå, men det er ikke klart om det er fordi ingen av disse feilene gjelder for Linux-kodebasen, fordi oppdateringene ikke er helt klare ennå for Linux, eller fordi feilene ikke er det. anses som viktig nok til å få Linux-spesifikke rettelser.

Feiltyper forklart

For å gi deg en veldig rask ordliste over de viktige feilkategoriene ovenfor:

• Bufferoverløp. Dette betyr at data levert av en angriper blir dumpet inn i en minneblokk som ikke er stor nok for beløpet som ble sendt. Hvis de ekstra dataene ender opp med å "søle over" til minne som allerede er brukt av andre deler av programvaren, kan det (eller i dette tilfellet, gjør det) bevisst og forrædersk påvirke nettleserens oppførsel.
• Type forvirring. Tenk deg at du leverer data som "pris på produkt" som nettleseren skal behandle som et enkelt tall. Tenk deg nå at du senere kan lure nettleseren til å bruke nummeret du nettopp oppga som om det var en minneadresse eller en tekststreng i stedet. Et nummer som bestod sjekken for å sikre at det var lovlig pris, er sannsynligvis ikke en gyldig minneadresse eller tekststreng, og ville derfor ikke blitt akseptert uten listen om å snike det inn under dekke av en annen datatype. Ved å mate inn data som er "gyldig-når-sjekket-men-ugyldig-når-brukt", kan en angriper bevisst undergrave oppførselen til nettleseren.
• Bruk-etter-fri. Dette betyr at en del av nettleseren feilaktig fortsetter å bruke en minneblokk etter at den har blitt levert tilbake til systemet for omfordeling et annet sted. Som et resultat kan data som allerede er sjekket for sikkerhet (av koden som forutsetter at de "eier" det aktuelle minnet) ende opp snikmodifisert rett før det blir brukt, og dermed forrædersk påvirke oppførselen til nettleseren.

Hva gjør jeg?

Chrome vil sannsynligvis oppdatere seg selv, men vi anbefaler alltid å sjekke uansett.

På Windows og Mac, bruk Mer > Hjelp > Om Google Chrome > Oppdater Google Chrome.

På Android, sjekk at Play Butikk-appene dine er oppdaterte.

Etter oppdatering leter du etter versjon 102.0.5005.148 hvis du er på "utvidet stall"-utgivelsen; 103.0.5060.114 hvis du er på det "stabile" sporet; og 103.0.5060.71 på Android.

På Linux er vi ikke sikre på hvilket versjonsnummer vi skal se etter, men du kan like godt gjøre det Hjelp > Om oss > Oppdater sikkerhetsdans uansett, for å sikre at du har den nyeste versjonen tilgjengelig akkurat nå.