A Google Chrome 105 első stabil csatornás verziója Windowsra, Macre és Linuxra, amelyet ezen a héten jelentet meg, 24 sebezhetőséget tartalmazott a szoftver korábbi verzióiban, köztük egy „kritikus” hibát és nyolcat, amelyeket a vállalat „magasnak” minősített. súlyossága.
A Google által a Chrome 105-tel megoldott biztonsági problémák közül kilenc – úgynevezett „használat utáni szabaddá” sérülékenység, vagy olyan hiba, amely lehetővé teszi a támadók számára, hogy a korábban felszabaduló memóriaterületeket rosszindulatú kód futtatására, adatok megsértésére és más rosszindulatú műveletek végrehajtására használják fel. . A kijavított sebezhetőségek közül négy buffer-túlcsordulás volt különböző Chrome-összetevőkben, beleértve a WebUI-t és a Screen Capture-t.
A támadók gyakran használják ki a puffertúlcsordulást különféle rosszindulatú célokra, beleértve a véletlenszerű kód futtatását, az adatok felülírását, a rendszerek összeomlását és a szolgáltatásmegtagadási feltételek kiváltását.
Vágólap felülírása
Az egyik probléma, amelyet úgy tűnik, a Google nem javított ki a vágólapok körüli frissítési központokban. A Malwarebytes szerint amikor a Google Chrome – vagy bármely Chromium-alapú böngésző – felhasználói felkeresnek egy webhelyet, a webhely bármilyen kívánt tartalmat a felhasználó operációs rendszerének vágólapjára helyezhet, a felhasználó engedélye vagy bármilyen interakció nélkül.
"Ez azt jelenti, hogy egy webhely meglátogatásával a vágólapon lévő adatok felülírhatók az Ön beleegyezése vagy tudta nélkül" - mondta a Malwarebytes.
Ez azt eredményezheti, hogy a felhasználók elveszíthetik az értékes adatokat, amelyeket esetleg máshová akartak volna kivágni és beilleszteni, miközben a támadóknak lehetősége nyílik arra, hogy megpróbáljanak rosszindulatú kódot csalni a felhasználó rendszerére – mondta a biztonsági szolgáltató. A probléma abból adódik, hogy a Chrome-ban és a Chromium-alapú böngészőben nincs olyan követelmény, hogy a felhasználók konkrét lépéseket tegyenek, például a „Ctrl+C” billentyűkombinációt használva tartalmat másoljanak egy webhelyről a felhasználó vágólapjára – mondta a Malwarebytes.
Jeff Johnson biztonsági kutató a Chrome-mal kapcsolatos problémát egy tágabb probléma részeként azonosította amely a Safarit és a Firefoxot egyaránt érinti is. "Jelenleg a Chrome a legrosszabb szabálysértő, mert a vágólapra íráshoz szükséges felhasználói gesztuskövetelmény véletlenül megsértődött a 104-es verzióban" - mondta egy e heti jelentésben.
A valóság azonban az, hogy más böngészők, például a Firefox és a Safari felhasználói könnyebben írják felül a rendszer vágólapjait, mint gondolnák – mondta Johnson. Bár mindkét böngésző megköveteli a felhasználóktól, hogy tegyenek bizonyos lépéseket a webhely tartalmának vágólapra másolásához, a műveletek sokkal szélesebbek, mint azt elképzelnék.
Például az olyan műveletek, mint a képernyőre való fókuszálás vagy a billentyő/billentyűzet és az egér lefelé/egér felfele lenyomása, azt eredményezhetik, hogy a webhely tartalma a felhasználó tudta nélkül a vágólapra kerül, mondta Johnson.
A kutató megjegyezte, hogy a Chrome fejlesztői már tisztában vannak a problémával, és foglalkoznak vele. A Google nem válaszolt azonnal a Dark Reading megjegyzéskérésére.
„A támadók ezzel a hibával visszaélve rosszindulatú hivatkozásokat másolhatnak a felhasználók vágólapjára, ami azt eredményezheti, hogy a felhasználók beillesztik ezeket a hivatkozásokat a címsorukba, és véletlenül rosszindulatú webhelyekre jutnak” – mondja Ivan Righi, a Digital Shadows vezető kiberfenyegetések elemzője.
„A hiba kihasználásának másik módja a csalárd kriptovaluta tranzakciók lebonyolítása. A fenyegetés szereplői kihasználhatják a hibát a social engineering támadásokkal együtt, hogy rávegyék a felhasználókat, hogy rossz pénztárcacímet adjanak meg a tranzakciókhoz” – mondja Righi. Az ilyen támadások sikerességének azonban kicsi a valószínűsége, mivel a felhasználók valószínűleg rendellenes tartalmat fognak észrevenni a vágólapjukon, mondja.
Használat utáni ingyenes problémák tömkelege
Eközben az egyetlen kritikus sebezhetőséget (CVE-2022-3038), amelyet a Google a Chrome 105 stabil verziójával kezelt, saját Project Zero hibakereső csapatának biztonsági kutatója jelentette: A Google Chrome hálózati szolgáltatás használat utáni használat nélküli hibája távoli támadók tetszőleges kód futtatásának módja
vagy szolgáltatásmegtagadási feltételeket válthat ki a felhasználói rendszereken azáltal, hogy ráveszi őket egy fegyveres webhely meglátogatására.
Külső hibavadászok és biztonsági kutatók jelentették az összes fennmaradó sebezhetőséget, amelyet a Google ezen a héten kijavított a Chrome-ban. A legkövetkezményesebb közülük a CVE-2022-3039 volt, amely a WebSQL rendkívül súlyos, felhasználótól mentes sérülékenysége, amelyet a kínai 360 Sebezhetőségi Kutatóintézet két kutatója jelentett a Google-nak. A kutatók 10,000 XNUMX dollárt kaptak azért, mert jelentették a hibát a Google-nak – ez a jelenlegi készlet legmagasabb összege.
A Chrome Layout egy másik nagy hatású, utánhasználat nélküli hibája 9,000 dollárt kapott annak a névtelen biztonsági kutatónak, aki jelentette a problémát a Google-nak. A fennmaradó hibákért járó jutalom 1,000 és 7,500 dollár között mozgott. A Google még nem határozott meg jutalmat négy hibanyilatkozatért.
Ahogy a nagy gyártóknál bevett gyakorlat, a Google azt mondta, hogy korlátozza a hozzáférést a hiba részleteihez, amíg a legtöbb felhasználónak lehetősége lesz a Chrome új, stabil verziójának bevezetésére.
"Fenntartjuk a korlátozásokat abban az esetben is, ha a hiba olyan harmadik féltől származó könyvtárban van, amelytől más projektek hasonlóan függenek, de még nem javították ki." – mondta a Google egy blogjában ezen a héten. A Microsoft egyik vezető biztonsági vezetője nemrég ugyanezt az okot használta magyarázza el, hogy a Microsoft hibaleírásai miért tartalmaznak csekély részleteket ezek a napok.
Míg a hibajavítások szinte minden bizonnyal az elsődleges ok, amiért a felhasználók a Chrome 105 stabil verziójára szeretnének frissíteni, az új böngészőverzió néhány további funkciót is bevezet. Ezek közé tartozik funkciók, amelyek lehetővé teszik a fejlesztők számára, hogy a progresszív webalkalmazásokhoz hozzáadjanak Windows vezérlőgombokat – például bezárást, maximalizálást vagy kicsinyítést –, új kép a képben API-t a Chrome-hoz Androidon, valamint a Chrome navigációs API-jának fejlesztéseit.
