تُصدر Google تصحيح Zero-Day الثامن لعام 2023 لمتصفح Chrome

أصدرت شركة جوجل تحديثًا عاجلًا لمعالجة الثغرة الأمنية المكتشفة مؤخرًا في متصفح كروم والتي كانت قيد الاستغلال النشط في البرية، مما يمثل ثغرة يوم الصفر الثامنة التي تم تحديدها للمتصفح في عام 2023.

التعرف على CVE-2023-7024وقالت جوجل إن الثغرة الأمنية عبارة عن عيب كبير في تجاوز سعة المخزن المؤقت داخل وحدة WebRTC في Chrome والتي تسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE).

WebRTC هي مبادرة مفتوحة المصدر تتيح الاتصال في الوقت الفعلي من خلال واجهات برمجة التطبيقات (APIs)، وتتمتع بدعم واسع النطاق بين صانعي المتصفحات الرائدين.

كيف يهدد CVE-2023-7024 مستخدمي Chrome

يوضح ليونيل ليتي، كبير مهندسي الأمن في شركة Menlo Security، أن خطر الاستغلال هو القدرة على تحقيق RCE في عملية العرض. وهذا يعني أن الممثل السيئ يمكنه تشغيل تعليمات برمجية ثنائية عشوائية على جهاز المستخدم، خارج بيئة جافا سكريبت المعزولة.

ومع ذلك، يعتمد الضرر الحقيقي على استخدام الخطأ كخطوة أولى في سلسلة الاستغلال؛ يجب أن يتم دمجها مع ثغرة أمنية في Sandbox Escape إما في Chrome نفسه أو في نظام التشغيل لتكون خطيرة حقًا.

يقول Litty: "لا يزال هذا الرمز في وضع الحماية بسبب البنية متعددة العمليات لمتصفح Chrome، لذلك مع هذه الثغرة الأمنية فقط، لا يستطيع المهاجم الوصول إلى ملفات المستخدم أو البدء في نشر البرامج الضارة، ويختفي موطئ قدمه على الجهاز عندما يتم إغلاق علامة التبويب المتأثرة". مغلق."

ويشير إلى أن ميزة عزل الموقع في Chrome ستحمي بشكل عام البيانات من المواقع الأخرى، لذلك لا يمكن للمهاجم استهداف المعلومات المصرفية للضحية، على الرغم من أنه يضيف أن هناك بعض التحذيرات الدقيقة هنا.

على سبيل المثال، قد يؤدي هذا إلى تعريض الأصل المستهدف للأصل الخبيث إذا كانوا يستخدمون نفس الموقع: وبعبارة أخرى، يمكن أن يستهدف موقعخبيث.shared.com الافتراضي الضحية.shared.com.

"في حين أن الوصول إلى الميكروفون أو الكاميرا يتطلب موافقة المستخدم، فإن الوصول إلى WebRTC نفسه لا يتطلب ذلك،" يوضح Litty. "من الممكن أن يتم استهداف هذه الثغرة الأمنية بواسطة أي موقع ويب دون الحاجة إلى أي إدخال من المستخدم يتجاوز زيارة الصفحة الضارة، لذا من هذا المنظور يكون التهديد كبيرًا."

ويشير أوبري بيرين، كبير محللي استخبارات التهديدات في وحدة أبحاث التهديدات في Qualys، إلى أن نطاق الخطأ يمتد إلى ما هو أبعد من Google Chrome.

يقول: "إن استغلال Chrome مرتبط بتواجده في كل مكان - حتى Microsoft Edge يستخدم Chromium". "لذا، فإن استغلال Chrome يمكن أيضًا أن يستهدف مستخدمي Edge ويسمح للجهات الفاعلة السيئة بنطاق أوسع."

وتجدر الإشارة إلى أن الأجهزة المحمولة التي تعمل بنظام Android والتي تستخدم Chrome لها ملف تعريف المخاطر الخاص بها؛ حيث يقومون بوضع مواقع متعددة في نفس عملية العرض في بعض السيناريوهات، خاصة على الأجهزة التي لا تحتوي على الكثير من ذاكرة الوصول العشوائي.

تظل المتصفحات هدفًا رئيسيًا للهجمات الإلكترونية

أبلغ بائعو المتصفحات الرئيسيون مؤخرًا عن عدد متزايد من أخطاء يوم الصفر - أبلغت Google وحدها خمسة منذ أغسطس.

تعد Apple وMicrosoft وFirefox من بين الشركات الأخرى التي كشفت عن ملف سلسلة من نقاط الضعف الحرجة في متصفحاتهم، بما في ذلك بعض الأيام الصفرية.

يقول جوزيف كارسون، كبير علماء الأمن ورئيس قسم تكنولوجيا المعلومات الاستشاري في Delinea، إنه ليس من المستغرب أن يستهدف المتسللون ومجرمو الإنترنت الذين ترعاهم الحكومة البرامج الشائعة، ويبحثون باستمرار عن نقاط الضعف لاستغلالها.

ويقول: "يؤدي هذا عادةً إلى مساحة هجوم أكبر بسبب الاستخدام الواسع النطاق للبرنامج، والمنصات المتعددة، والأهداف عالية القيمة، وعادةً ما يفتح الباب أمام هجمات سلسلة التوريد".

ويشير إلى أن هذه الأنواع من الثغرات الأمنية تستغرق أيضًا وقتًا للعديد من المستخدمين لتحديث الأنظمة الضعيفة وتصحيحها.

يقول كارسون: "لذلك، من المرجح أن يستهدف المهاجمون هذه الأنظمة الضعيفة لعدة أشهر قادمة".

ويضيف: "بما أن هذه الثغرة الأمنية يتم استغلالها بشكل نشط، فمن المحتمل أن يعني ذلك أن العديد من أنظمة المستخدمين قد تم اختراقها بالفعل وسيكون من المهم أن تكون قادرًا على تحديد الأجهزة التي تم استهدافها وتصحيح تلك الأنظمة بسرعة."

ونتيجة لذلك، يشير كارسون إلى أنه يجب على المؤسسات التحقق من الأنظمة الحساسة التي تحتوي على هذه الثغرة الأمنية لتحديد أي مخاطر أو تأثير مادي محتمل.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/cloud-security/google-eighth-zero-day-patch-2023-chrome