O Google corrige o zero-day do Chrome “in-the-wild” – atualize agora!

A atualização mais recente do Google para o navegador Chrome corrige um número variável de bugs, dependendo se você está ou não Android, Windows ou Mac, e dependendo se você está executando o “canal estável” ou o “canal estável estendido".

Não se preocupe se você achar confusa a infinidade de postagens do blog do Google…

…nós também, então tentamos fazer um resumo completo abaixo.

A Canal estável é a versão mais recente, incluindo todos os novos recursos do navegador, atualmente numerados Chrome 103.

A Canal estável estendido se identifica como Chrome 102e não possui os recursos mais recentes, mas possui as correções de segurança mais recentes.

Três bugs numerados em CVE estão listados nos três boletins listados acima:

• CVE-2022-2294: Estouro de buffer no WebRTC. Um buraco de dia zero, já conhecido pela fraternidade do crime cibernético e explorado ativamente na natureza. Este bug aparece em todas as versões listadas acima: Android, Windows e Mac, tanto nos sabores “estável” quanto “estável estendido”. WebRTC é a abreviação de “comunicação em tempo real na web”, usada por muitos serviços de compartilhamento de áudio e vídeo que você usa, como reuniões remotas, webinars e chamadas telefônicas on-line.
• CVE-2022-2295: Confusão de tipos em V8. O termo V8 refere-se ao mecanismo JavaScript do Google, usado por qualquer site que inclua código JavaScript, que, em 2022, é quase todos os sites existentes. Este bug aparece no Android, Windows e Mac, mas aparentemente apenas na versão Chrome 103 (“canal estável”).
• CVE-2022-2296: Use após livre no Chrome OS Shell. Isso está listado como aplicável ao “canal estável” no Windows e Mac, embora o shell do Chrome OS seja, como o nome sugere, parte do Chrome OS, que não é baseado em Windows nem Mac.

Além disso, o Google corrigiu vários bugs sem numeração CVE que são rotulados coletivamente com ID do bug 1341569.

Esses patches fornecem uma série de correções proativas baseadas em “auditorias internas, fuzzing e outras iniciativas”, o que muito provavelmente significa que eles não eram conhecidos anteriormente por mais ninguém e, portanto, nunca foram (e não podem mais ser) transformados em zero- buracos do dia, o que é uma boa notícia.

Os usuários do Linux ainda não foram mencionados nos boletins deste mês, mas não está claro se isso ocorre porque nenhum desses bugs se aplica à base de código do Linux, porque os patches ainda não estão prontos para o Linux ou porque os bugs não estão. considerado importante o suficiente para obter correções específicas do Linux.

Tipos de bugs explicados

Para fornecer um glossário muito rápido das categorias importantes de bugs acima:

• Estouro de buffer. Isso significa que os dados fornecidos por um invasor são despejados em um bloco de memória que não é grande o suficiente para a quantidade enviada. Se os dados extras acabarem “transbordando” para o espaço de memória já usado por outras partes do software, eles podem (ou, neste caso, afetam) deliberada e traiçoeiramente o comportamento do navegador.
• Digite confusão. Imagine que você está fornecendo dados como “preço do produto” que o navegador deveria tratar como um simples número. Agora imagine que mais tarde você possa enganar o navegador para que ele use o número que acabou de fornecer como se fosse um endereço de memória ou uma sequência de texto. Um número que passou na verificação para garantir que era o preço legal provavelmente não é um endereço de memória ou sequência de texto válido e, portanto, não teria sido aceito sem o estratagema de inseri-lo sob o disfarce de um tipo de dados diferente. Ao inserir dados que são “válidos quando verificados, mas inválidos quando usados”, um invasor pode subverter deliberadamente o comportamento do navegador.
• Use-após-livre. Isso significa que uma parte do navegador continua usando incorretamente um bloco de memória após ele ter sido devolvido ao sistema para realocação em outro lugar. Como resultado, os dados que já foram verificados quanto à segurança (pelo código que assume que são “proprietários” da memória em questão) podem acabar modificados sorrateiramente pouco antes de serem usados, afetando assim traiçoeiramente o comportamento do navegador.

O que fazer?

O Chrome provavelmente será atualizado sozinho, mas sempre recomendamos verificar de qualquer maneira.

No Windows e Mac, use Mais > Ajuda > Sobre o Google Chrome > Atualize o Google Chrome.

No Android, verifique se os aplicativos da Play Store estão atualizados.

Após a atualização, você está procurando a versão 102.0.5005.148 se você estiver na versão “estável estendida”; 103.0.5060.114 se você está no caminho “estável”; e 103.0.5060.71 no Android.

No Linux, não temos certeza de qual número de versão procurar, mas você também pode fazer o Ajuda > Sobre > Atualizar dança de segurança de qualquer maneira, para garantir que você tenha a versão mais recente disponível no momento.