Googles erste stabile Channel-Version von Chrome 105 für Windows, Mac und Linux, die diese Woche veröffentlicht wurde, enthielt Korrekturen für 24 Schwachstellen in früheren Versionen der Software, darunter eine „kritische“ Schwachstelle und acht, die das Unternehmen als „hoch“ einstufte. Schwere.
Eine Vielzahl – neun – der Sicherheitsprobleme, die Google mit Chrome 105 behoben hat, waren sogenannte „Use-after-free“-Schwachstellen oder Schwachstellen, die es Angreifern ermöglichen, zuvor freigegebene Speicherplätze zu nutzen, um Schadcode auszuführen, Daten zu beschädigen und andere böswillige Aktionen durchzuführen . Bei vier der gepatchten Schwachstellen handelte es sich um Heap-Pufferüberläufe in verschiedenen Chrome-Komponenten, darunter WebUI und Screen Capture.
Angreifer nutzen Pufferüberläufe häufig für verschiedene böswillige Zwecke aus, darunter die Ausführung von Zufallscode, das Überschreiben von Daten, den Absturz von Systemen und das Auslösen von Denial-of-Service-Bedingungen.
Überschreiben der Zwischenablage
Ein Problem, das Google in den Update-Centern rund um die Zwischenablagen offenbar nicht behoben hat. Laut Malwarebytes gilt: Wenn Benutzer von Google Chrome – oder einem anderen Chromium-basierten Browser – eine Website besuchen, Die Site kann jeden gewünschten Inhalt in die Zwischenablage des Betriebssystems des Benutzers verschieben, ohne die Erlaubnis des Benutzers oder irgendeine Interaktion.
„Das bedeutet, dass durch den einfachen Besuch einer Website die Daten in Ihrer Zwischenablage ohne Ihre Zustimmung oder Ihr Wissen überschrieben werden können“, sagte Malwarebytes.
Dies kann dazu führen, dass Benutzer wertvolle Daten verlieren, die sie woanders hätten ausschneiden und einfügen wollen, und gleichzeitig Angreifern die Möglichkeit geben, zu versuchen, bösartigen Code in das System eines Benutzers einzuschleusen, so der Sicherheitsanbieter. Das Problem hat damit zu tun, dass es in Chrome und Chromium-basierten Browsern keine Anforderung gibt, dass Benutzer bestimmte Schritte ausführen müssen, wie etwa die Verwendung von „Strg+C“, um Inhalte von einer Website in die Zwischenablage des Benutzers zu kopieren, so Malwarebytes.
Der Sicherheitsforscher Jeff Johnson identifizierte das Problem mit Chrome als Teil eines umfassenderen Problems Das betrifft sowohl Safari als auch Firefox sowie. „Chrome ist derzeit der schlimmste Übeltäter, weil die Benutzergestenanforderung zum Schreiben in die Zwischenablage in Version 104 versehentlich gebrochen wurde“, sagte er diese Woche in einem Bericht.
Die Realität sieht jedoch so aus, dass es für Benutzer anderer Browser wie Firefox und Safari einfacher ist, dass Websites ihre Systemzwischenablagen überschreiben, als ihnen bewusst ist, sagte Johnson. Obwohl Benutzer bei beiden Browsern einige Maßnahmen ergreifen müssen, um Website-Inhalte in ihre Zwischenablage zu kopieren, sind die Aktionen viel umfassender, als sie sich vorstellen können.
Beispielsweise können Aktionen wie das Fokussieren auf einen Bildschirm oder das Drücken von Tasten nach unten/Taste nach oben und Maus nach unten/Maus nach oben dazu führen, dass Website-Inhalte ohne Wissen des Benutzers in die Zwischenablage kopiert werden, sagte Johnson.
Der Forscher stellte fest, dass Chrome-Entwickler das Problem bereits kennen und sich darum kümmern. Google reagierte nicht sofort auf eine Anfrage von Dark Reading nach einem Kommentar.
„Angreifer können diesen Fehler missbrauchen, um bösartige Links in die Zwischenablagen der Benutzer zu kopieren, was dazu führen könnte, dass Benutzer diese Links in ihre Adressleiste einfügen und versehentlich auf bösartige Websites zugreifen“, sagt Ivan Righi, leitender Cyber-Bedrohungsanalyst bei Digital Shadows.
„Eine andere Möglichkeit, diesen Fehler auszunutzen, besteht darin, betrügerische Kryptowährungstransaktionen durchzuführen. Bedrohungsakteure könnten die Schwachstelle in Verbindung mit Social-Engineering-Angriffen ausnutzen, um Benutzer dazu zu bringen, für Transaktionen die falschen Wallet-Adressen einzugeben“, sagt Righi. Die Wahrscheinlichkeit, dass solche Angriffe erfolgreich sind, sei jedoch gering, da Benutzer wahrscheinlich ungewöhnliche Inhalte in ihrer Zwischenablage bemerken würden, sagt er.
Eine Fülle von Use-After-Free-Problemen
Unterdessen wurde die einzige kritische Schwachstelle (CVE-2022-3038), die Google mit der stabilen Version von Chrome 105 behoben hat, von einem Sicherheitsforscher des eigenen Bug-Hunting-Teams Project Zero gemeldet: Der Use-after-Free-Fehler im Google Chrome Network Service gibt Remote-Angreifern eine Möglichkeit, beliebigen Code auszuführen
oder Denial-of-Service-Bedingungen auf Benutzersystemen auslösen, indem sie sie dazu bringen, eine bewaffnete Website zu besuchen.
Externe Bug-Jäger und Sicherheitsforscher haben alle verbleibenden Schwachstellen gemeldet, die Google diese Woche in Chrome behoben hat. Die folgenreichste unter ihnen scheint CVE-2022-3039 gewesen zu sein, eine hochgradige, von Benutzern nach der Freischaltung auftretende Schwachstelle in WebSQL, die zwei Forscher des chinesischen 360 Vulnerability Research Institute an Google gemeldet haben. Die Forscher erhielten 10,000 US-Dollar für die Meldung des Fehlers an Google – der höchste Betrag, der in der aktuellen Reihe vergeben wurde.
Ein weiterer schwerwiegender „Use-After-Free“-Fehler im Chrome-Layout brachte dem anonymen Sicherheitsforscher, der das Problem an Google gemeldet hatte, 9,000 US-Dollar ein. Die Kopfgelder für die verbleibenden Bugs lagen zwischen 1,000 und 7,500 US-Dollar. Google hat noch keine Belohnungen für vier Bug-Offenlegungen festgelegt.
Wie bei großen Anbietern üblich, hat Google den Zugriff auf Fehlerdetails eingeschränkt, bis die meisten Benutzer die Möglichkeit haben, die neue, stabile Version von Chrome zu implementieren.
„Wir werden auch Einschränkungen beibehalten, wenn der Fehler in einer Bibliothek eines Drittanbieters auftritt, von der andere Projekte in ähnlicher Weise abhängen, die aber noch nicht behoben wurde.“ Das sagte Google diese Woche in einem Blog. Ein hochrangiger Microsoft-Sicherheitsmanager hatte kürzlich den gleichen Grund dafür herangezogen Erklären Sie, warum die Bug-Offenlegungen von Microsoft ebenfalls kaum Details enthalten heutzutage.
Während die Fehlerbehebungen mit ziemlicher Sicherheit der Hauptgrund sind, warum Benutzer möglicherweise auf die stabile Version von Chrome 105 aktualisieren möchten, führt die neue Browserversion auch eine Handvoll zusätzlicher Funktionen ein. Diese Dienstleistungen umfassen Funktionen, die es Entwicklern ermöglichen, Windows-Steuerschaltflächen – wie Schließen, Maximieren oder Minimieren – zu progressiven Web-Apps hinzuzufügen, eine neue Bild-in-Bild-API für Chrome auf Android und Verbesserungen an der Navigations-API von Chrome.
