Google corecții „în sălbăticie” Chrome zero-day – actualizați acum!

Cea mai recentă actualizare Google a browserului Chrome remediază un număr diferit de erori, în funcție de dacă sunteți pe Android, Windows sau Mac, și în funcție de dacă rulați „canalul stabil” sau „canal stabil extins".

Nu-ți face griji dacă găsești multitudinea de postări de blog Google confuză...

… și noi am făcut-o, așa că am încercat să venim cu un rezumat complet mai jos.

Canal stabil este cea mai recentă versiune, inclusiv toate funcțiile noi ale browserului, numerotate în prezent Chrome 103.

Canal stabil extins se identifică ca Chrome 102, și nu are cele mai recente funcții, dar are cele mai recente remedieri de securitate.

Trei erori numerotate CVE sunt enumerate în cele trei buletine enumerate mai sus:

• CVE-2022-2294: Buffer overflow în WebRTC. O gaură zero-day, deja cunoscută de fraternitatea criminalității cibernetice și exploatată activ în sălbăticie. Această eroare apare în toate versiunile enumerate mai sus: Android, Windows și Mac, atât în ​​varianta „stabil”, cât și în „stabil extins”. WebRTC este prescurtarea pentru „comunicare web în timp real”, care este folosită de multe servicii de partajare audio și video pe care le utilizați, cum ar fi cele pentru întâlniri la distanță, seminarii web și apeluri telefonice online.
• CVE-2022-2295: Tip confuzie în V8. Termenul V8 se referă la motorul JavaScript al Google, utilizat de orice site web care include cod JavaScript, care, în 2022, este aproape fiecare site web existent. Această eroare apare în Android, Windows și Mac, dar se pare că numai în versiunea Chrome 103 („canal stabil”).
• CVE-2022-2296: Utilizare după gratuit în Chrome OS Shell. Acest lucru este enumerat ca fiind aplicabil pentru „canalul stabil” pe Windows și Mac, deși shell-ul sistemului de operare Chrome este, după cum sugerează și numele, parte din Chrome OS, care nu este bazat nici pe Windows, nici pe Mac.

În plus, Google a corectat o grămadă de erori care nu sunt numerotate CVE care sunt etichetate colectiv cu ID de eroare 1341569.

Aceste patch-uri oferă o serie de remedieri proactive bazate pe „audituri interne, fuzzing și alte inițiative”, ceea ce înseamnă foarte probabil că nu erau cunoscute anterior de nimeni altcineva și, prin urmare, nu au fost (și nu mai pot fi) transformate în zero- găuri de zi, ceea ce este o veste bună.

Utilizatorii de Linux nu au avut încă o mențiune în buletinele din această lună, dar nu este clar dacă asta se datorează faptului că niciunul dintre aceste erori nu se aplică bazei de cod Linux, pentru că patch-urile nu sunt încă gata pentru Linux sau pentru că erorile nu sunt considerat suficient de important pentru a obține remedieri specifice Linux.

Tipuri de erori explicate

Pentru a vă oferi un glosar foarte rapid al categoriilor importante de erori de mai sus:

• Debordare tampon. Aceasta înseamnă că datele furnizate de un atacator sunt aruncate într-un bloc de memorie care nu este suficient de mare pentru suma care a fost trimisă. În cazul în care datele suplimentare ajung să se „vărseze” în spațiul de memorie deja utilizat de alte părți ale software-ului, poate (sau, în acest caz, afectează) în mod deliberat și perfide comportamentul browserului.
• Confuzie de tip. Imaginați-vă că furnizați date precum „prețul produsului” pe care browserul ar trebui să le trateze ca pe un număr simplu. Acum imaginați-vă că mai târziu puteți păcăli browserul să folosească numărul pe care tocmai l-ați furnizat ca și cum ar fi o adresă de memorie sau un șir de text. Un număr care a trecut verificarea pentru a se asigura că este prețul legal, probabil, nu este o adresă de memorie validă sau un șir de text și, prin urmare, nu ar fi fost acceptat fără trucul de a-l introduce sub pretextul unui alt tip de date. Prin introducerea datelor care sunt „valide-când-verificate-dar-invalide-când-utilizate”, un atacator ar putea submina în mod deliberat comportamentul browserului.
• Utilizare-după-gratuit. Aceasta înseamnă că o parte a browserului continuă să utilizeze incorect un bloc de memorie după ce acesta a fost predat înapoi sistemului pentru realocare în altă parte. Drept urmare, datele care au fost deja verificate pentru siguranță (prin codul care presupune că „deține” memoria în cauză) ar putea ajunge să fie modificate ascuns chiar înainte de a fi utilizate, afectând astfel comportamentul browserului.

Ce să fac?

Chrome se va actualiza probabil de la sine, dar vă recomandăm întotdeauna să verificați oricum.

Pe Windows și Mac, utilizați Mai Mult > Ajutor > Despre Google Chrome > Actualizați Google Chrome.

Pe Android, verificați dacă aplicațiile din Magazin Play sunt actualizate.

După actualizare, cauți versiunea 102.0.5005.148 dacă sunteți în versiunea „stabilă extinsă”; 103.0.5060.114 dacă ești pe calea „stabilă”; și 103.0.5060.71 pe Android.

Pe Linux, nu suntem siguri ce număr de versiune să ne uităm, dar ați putea la fel de bine să faceți Ajutor > Despre Noi > Actualizează oricum, pentru a vă asigura că aveți cea mai recentă versiune disponibilă chiar acum.