Google'i esimene stabiilne kanaliversioon Chrome 105 Windowsile, Macile ja Linuxile, mis avaldati sel nädalal, sisaldas parandusi 24 haavatavusele tarkvara eelmistes versioonides, sealhulgas ühte "kriitilist" viga ja kaheksat, mida ettevõte hindas "kõrgeks". tõsidus.
Mitmed – üheksa – turvaprobleemidest, mida Google lahendas Chrome 105-ga, olid nn kasutusjärgsed haavatavused või vead, mis võimaldavad ründajatel kasutada varem vabastatud mäluruumi pahatahtliku koodi käivitamiseks, andmete rikkumiseks ja muude pahatahtlike toimingute tegemiseks. . Neli parandatud turvaauku olid kuhja puhvri ületäitumised erinevates Chrome'i komponentides, sealhulgas WebUI ja Screen Capture.
Ründajad kasutavad sageli puhvri ületäitumist erinevatel pahatahtlikel eesmärkidel, sealhulgas juhusliku koodi käivitamiseks, andmete ülekirjutamiseks, süsteemide kokkujooksmiseks ja teenuse keelamise tingimuste käivitamiseks.
Lõikelaua ülekirjutamine
Üks probleem, mida Google ei paista olevat lõikepuhvrite värskenduskeskustes parandanud. Malwarebytesi andmetel külastavad Google Chrome'i või mõne Chromiumipõhise brauseri kasutajad veebisaiti, sait saab lükata mis tahes sisu kasutaja OS-i lõikelauale, ilma kasutaja loata või sekkumiseta.
"See tähendab, et lihtsalt veebisaiti külastades võidakse teie lõikelaual olevad andmed teie nõusoleku või teadmata üle kirjutada," ütles Malwarebytes.
See võib põhjustada selle, et kasutajad kaotavad väärtuslikke andmeid, mida nad võisid tahta mujale lõigata ja kleepida, andes samal ajal ründajatele võimaluse proovida kasutaja süsteemis pahatahtlikku koodi hiilida, ütles turvamüüja. Malwarebytes ütles, et probleem on seotud sellega, et Chrome'is ja Chromiumil põhinevas brauseris ei nõuta kasutajatel konkreetseid samme, näiteks klahvikombinatsiooni Ctrl+C kasutamine veebisaidi sisu kopeerimiseks kasutaja lõikelauale.
Turvateadlane Jeff Johnson tuvastas Chrome'i probleemi osana laiemast probleemist mis mõjutab nii Safarit kui ka Firefoxi samuti. "Chrome on praegu kõige hullem rikkuja, kuna lõikelauale kirjutamise kasutajaliigutuse nõue rikuti versioonis 104 kogemata," ütles ta sel nädalal avaldatud aruandes.
Reaalsus on aga see, et teiste brauserite (nt Firefox ja Safari) kasutajatel võivad veebisaidid oma süsteemi lõikepuhvreid hõlpsamini üle kirjutada, ütles Johnson. Kuigi mõlemad brauserid nõuavad, et kasutajad võtaksid veebisaidi sisu lõikelauale kopeerimiseks midagi ette, on toimingud palju laiemad, kui nad arvata oskavad.
Näiteks võivad sellised toimingud nagu ekraanile keskendumine või klahvi alla/klahvi alla vajutamine ja hiire alla/hiire üles tõstmine põhjustada veebisaidi sisu kopeerimise lõikepuhvrisse ilma kasutaja teadmata, ütles Johnson.
Uurija märkis, et Chrome'i arendajad on probleemist juba teadlikud ja tegelevad sellega. Google ei vastanud kohe pimeda lugemise kommentaaritaotlusele.
"Ründajad võivad seda viga kuritarvitada, et kopeerida pahatahtlikke linke kasutajate lõikelauale, mille tulemusena võivad kasutajad need lingid oma aadressiribale kleepida ja pahatahtlikele saitidele kogemata juurde pääseda," ütleb Digital Shadowsi küberohtude vanemanalüütik Ivan Righi.
"Teine viis selle vea ärakasutamiseks on petturlike krüptovaluutatehingute tegemine. Ohutegijad võivad seda viga kasutada koos sotsiaalse manipuleerimise rünnakutega, et kasutajad sisestaksid tehingute jaoks vale rahakoti aadressi, ”ütleb Righi. Ta ütleb, et selliste rünnakute õnnestumise tõenäosus on väike, kuna kasutajad märkavad tõenäoliselt nende lõikelauale paigutatud ebanormaalset sisu.
Suur hulk kasutusjärgseid probleeme
Samal ajal teatas oma Project Zero vigade otsimise meeskonna turvateadlane ainsast kriitilisest haavatavusest (CVE-2022-3038), mida Google lahendas Chrome 105 stabiilse versiooniga: Google Chrome'i võrguteenuse kasutamise pärast tasuta viga kaugründajad viis suvalise koodi käivitamiseks
või käivitada kasutajasüsteemides teenuse keelamise tingimused, pannes nad külastama relvastatud veebisaiti.
Välised veakütid ja turbeuurijad teatasid kõikidest ülejäänud turvaaukudest, mida Google sel nädalal Chrome'is käsitles. Kõige olulisem neist näib olevat CVE-2022-3039, WebSQL-i väga tõsine, kasutajate jaoks tasuta haavatavus, millest kaks Hiina 360 haavatavuse uurimisinstituudi teadlast teatasid Google'ile. Teadlased said Google'ile veast teatamise eest 10,000 XNUMX dollarit – see on praeguse komplekti suurim summa.
Veel üks suure mõjuga ja pärast kasutusvaba viga Chrome'i paigutuses kogus probleemist Google'ile teatanud anonüümsele turbeuurijale 9,000 dollarit. Ülejäänud vigade eest makstavad preemiad ulatusid 1,000–7,500 dollarini. Google pole veel nelja vea avalikustamise eest preemiaid määranud.
Nagu suuremate tarnijate puhul on tavaks saanud, teatas Google, et on piiranud juurdepääsu vea üksikasjadele, kuni enamikul kasutajatel on võimalus rakendada Chrome'i uut stabiilset versiooni.
"Säilitame ka piirangud, kui viga esineb kolmanda osapoole raamatukogus, millest teised projektid samamoodi sõltuvad, kuid mida pole veel parandatud." Google ütles selle nädala ajaveebis. Microsofti kõrgetasemeline turbejuht oli hiljuti kasutanud sama põhjust selgitage, miks Microsofti veateated sisaldavad ka nappe üksikasju neil päevil.
Kuigi veaparandused on peaaegu kindlasti peamine põhjus, miks kasutajad võivad soovida värskendada Chrome 105 stabiilsele versioonile, sisaldab uus brauseri versioon ka käputäie lisafunktsioone. Nendeks funktsioonid, mis võimaldavad arendajatel lisada Windowsi juhtnuppe (nt sulgemine, maksimeerimine või minimeerimine) progressiivsetele veebirakendustele, uus pilt-pildis API Androidi Chrome'i jaoks ja Chrome'i navigeerimis-API täiustused.
