Google menambal Chrome "di alam liar" zero-day – perbarui sekarang!

Pembaruan terbaru Google untuk browser Chrome memperbaiki sejumlah bug yang bervariasi, tergantung pada apakah Anda aktif Android, Windows atau Mac, dan bergantung pada apakah Anda menjalankan "saluran stabil" atau "saluran stabil diperpanjang".

Jangan khawatir jika Anda menemukan kebanyakan posting blog Google membingungkan ...

…kami juga melakukannya, jadi kami mencoba membuat ringkasan lengkap di bawah ini.

Grafik Saluran yang stabil adalah versi terbaru, termasuk semua fitur browser baru, saat ini diberi nomor Krom 103.

Grafik Saluran Stabil yang Diperpanjang mengidentifikasi dirinya sebagai Krom 102, dan tidak memiliki fitur terbaru tetapi memiliki perbaikan keamanan terbaru.

Tiga bug bernomor CVE tercantum di tiga buletin yang tercantum di atas:

• CVE-2022-2294: Buffer overflow di WebRTC. Lubang nol hari, sudah dikenal oleh persaudaraan kejahatan dunia maya dan dieksploitasi secara aktif di alam liar. Bug ini muncul di semua versi yang tercantum di atas: Android, Windows dan Mac, baik dalam rasa "stabil" dan "diperpanjang stabil". WebRTC adalah kependekan dari "komunikasi waktu nyata web", yang digunakan oleh banyak layanan berbagi audio dan video yang Anda gunakan, seperti untuk rapat jarak jauh, webinar, dan panggilan telepon online.
• CVE-2022-2295: Ketik kebingungan di V8. Istilah V8 mengacu pada mesin JavaScript Google, yang digunakan oleh situs web apa pun yang menyertakan kode JavaScript, yang, pada tahun 2022, hampir setiap situs web di luar sana. Bug ini muncul di Android, Windows, dan Mac, tetapi tampaknya hanya di Chrome 103 flavor ("saluran stabil").
• CVE-2022-2296: Gunakan setelah bebas di Chrome OS Shell. Ini terdaftar sebagai berlaku untuk "saluran stabil" di Windows dan Mac, meskipun shell Chrome OS, seperti namanya, adalah bagian dari Chrome OS, yang bukan berbasis Windows atau Mac.

Selain itu, Google telah menambal sejumlah bug non-CVE yang secara kolektif diberi label dengan ID Bug 1341569.

Patch ini memberikan banyak perbaikan proaktif berdasarkan "audit internal, fuzzing, dan inisiatif lainnya", yang sangat mungkin berarti bahwa mereka sebelumnya tidak diketahui orang lain, dan oleh karena itu tidak pernah (dan tidak lagi dapat) berubah menjadi nol- lubang hari, yang merupakan kabar baik.

Pengguna Linux belum menyebutkan dalam buletin bulan ini, tetapi tidak jelas apakah itu karena tidak satu pun dari bug ini berlaku untuk basis kode Linux, karena tambalan belum cukup siap untuk Linux, atau karena bug belum dianggap cukup penting untuk mendapatkan perbaikan khusus Linux.

Jenis bug dijelaskan

Untuk memberi Anda glosarium yang sangat cepat dari kategori bug penting di atas:

• Buffer meluap. Ini berarti bahwa data yang diberikan oleh penyerang akan dibuang ke dalam blok memori yang tidak cukup besar untuk jumlah yang dikirim. Jika data tambahan akhirnya "tumpah" ke dalam ruang memori yang sudah digunakan oleh bagian lain dari perangkat lunak, itu mungkin (atau dalam hal ini, memang) secara sengaja dan berbahaya memengaruhi perilaku browser.
• Kebingungan mengetik. Bayangkan Anda memberikan data seperti "harga produk" yang seharusnya diperlakukan oleh browser sebagai angka sederhana. Sekarang bayangkan bahwa nanti Anda dapat mengelabui browser agar menggunakan nomor yang baru saja Anda berikan seolah-olah itu adalah alamat memori atau string teks. Sebuah nomor yang lulus pemeriksaan untuk memastikan itu harga legal mungkin bukan alamat memori yang valid atau string teks, dan karena itu tidak akan diterima tanpa tipu muslihat menyelinap di bawah kedok tipe data yang berbeda. Dengan memasukkan data yang "valid-saat-diperiksa-tetapi-tidak-valid-saat-digunakan", penyerang dapat dengan sengaja mengubah perilaku browser.
• Gunakan-setelah-bebas. Ini berarti bahwa satu bagian dari browser secara tidak benar terus menggunakan blok memori setelah dikembalikan ke sistem untuk realokasi di tempat lain. Akibatnya, data yang telah diperiksa keamanannya (dengan kode yang menganggapnya "memiliki" memori yang bersangkutan) dapat diubah secara diam-diam sebelum digunakan, sehingga memengaruhi perilaku browser secara berbahaya.

Apa yang harus dilakukan?

Chrome mungkin akan memperbarui dirinya sendiri, tetapi kami selalu menyarankan untuk tetap memeriksanya.

Di Windows dan Mac, gunakan More > Bantuan > Tentang Google Chrome > Perbarui Google Chrome.

Di Android, periksa apakah aplikasi Play Store Anda mutakhir.

Setelah memperbarui, Anda mencari versi 102.0.5005.148 jika Anda menggunakan rilis "extended stable"; 103.0.5060.114 jika Anda berada di jalur "stabil"; dan 103.0.5060.71 Android.

Di Linux, kami tidak yakin nomor versi apa yang harus diwaspadai, tetapi sebaiknya Anda melakukannya Bantuan > Tentang Kami > Memperbarui tarian keamanan, untuk memastikan Anda memiliki versi terbaru yang tersedia sekarang.