Google corregge 24 vulnerabilità con il nuovo aggiornamento di Chrome

La prima versione stabile del canale Google di Chrome 105 per Windows, Mac e Linux, rilasciata questa settimana, conteneva correzioni per 24 vulnerabilità nelle versioni precedenti del software, incluso un difetto "critico" e otto che la società ha classificato come "alti". gravità.

Una pluralità di nove problemi di sicurezza che Google ha affrontato con Chrome 105 erano le cosiddette vulnerabilità use-after-free, ovvero difetti che consentono agli aggressori di utilizzare spazi di memoria precedentemente liberati per eseguire codice dannoso, corrompere dati e intraprendere altre azioni dannose. . Quattro delle vulnerabilità corrette erano overflow del buffer di heap in vari componenti di Chrome, tra cui WebUI e Screen Capture.

Gli aggressori spesso sfruttano i buffer overflow per una serie di scopi dannosi, tra cui l'esecuzione di codice casuale, la sovrascrittura di dati, il crash dei sistemi e l'attivazione di condizioni di negazione del servizio.

Sovrascrittura degli appunti

Un problema che Google non sembra aver risolto negli aggiornamenti riguarda gli appunti. Secondo Malwarebytes, quando gli utenti di Google Chrome (o di qualsiasi browser basato su Chromium) visitano un sito web, il sito può inviare qualsiasi contenuto desideri negli appunti del sistema operativo dell'utente, senza il permesso dell'utente o alcuna interazione.

"Ciò significa che semplicemente visitando un sito Web, i dati negli appunti potrebbero essere sovrascritti senza il tuo consenso o senza che tu ne sia a conoscenza", ha affermato Malwarebytes.

Ciò può comportare la perdita di dati preziosi da parte degli utenti che avrebbero voluto tagliare e incollare altrove, offrendo allo stesso tempo agli aggressori un’opportunità per provare a introdurre codice dannoso nel sistema di un utente, ha affermato il fornitore di sicurezza. Il problema ha a che fare con l’assenza di qualsiasi requisito in Chrome e nei browser basati su Chromium che consentano agli utenti di adottare misure specifiche come l’utilizzo di “Ctrl+C” per copiare contenuti da un sito Web negli appunti dell’utente, ha affermato Malwarebytes.

Il ricercatore di sicurezza Jeff Johnson ha identificato il problema con Chrome come parte di un problema più ampio che influisce sia su Safari che su Firefox anche. "Chrome è attualmente il peggiore trasgressore, perché il requisito del gesto dell'utente per scrivere negli appunti è stato accidentalmente interrotto nella versione 104", ha affermato in un rapporto questa settimana.

Tuttavia, la realtà è che gli utenti di altri browser come Firefox e Safari possono far sì che i siti web sovrascrivano gli appunti di sistema più facilmente di quanto credano, ha affermato Johnson. Sebbene entrambi questi browser richiedano agli utenti di intraprendere alcune azioni per copiare il contenuto del sito Web negli appunti, le azioni sono molto più ampie di quanto possano immaginare.

Ad esempio, azioni come concentrarsi su uno schermo o premere tasto giù/tasto su e mouse giù/mouse su possono far sì che il contenuto del sito Web venga copiato negli appunti all'insaputa dell'utente, ha affermato Johnson.

Il ricercatore ha notato che gli sviluppatori di Chrome sono già a conoscenza del problema e lo stanno affrontando. Google non ha risposto immediatamente a una richiesta di commento di Dark Reading.

"Gli aggressori potrebbero abusare di questo bug per copiare collegamenti dannosi negli appunti degli utenti, il che potrebbe portare gli utenti a incollare tali collegamenti nella barra degli indirizzi e ad accedere accidentalmente a siti dannosi", afferma Ivan Righi, analista senior delle minacce informatiche presso Digital Shadows.

“Un altro modo in cui questo bug potrebbe essere sfruttato è condurre transazioni fraudolente di criptovaluta. Gli autori delle minacce potrebbero sfruttare la falla insieme ad attacchi di ingegneria sociale per indurre gli utenti a inserire indirizzi di portafoglio errati per le transazioni”, afferma Righi. Tuttavia, la probabilità che tali attacchi abbiano successo è bassa perché gli utenti noteranno probabilmente contenuti anomali inseriti nei loro appunti, dice.

Una pletora di problemi Use-After-Free

Nel frattempo, l'unica vulnerabilità critica (CVE-2022-3038) che Google ha risolto con la versione stabile di Chrome 105 è stata segnalata da un ricercatore di sicurezza del proprio team di caccia ai bug Project Zero: il difetto use-after-free nel servizio di rete Google Chrome dà agli aggressori remoti un modo per eseguire codice arbitrario
o attivare condizioni di negazione del servizio sui sistemi degli utenti inducendoli a visitare un sito Web armato.

Cacciatori di bug esterni e ricercatori sulla sicurezza hanno segnalato tutte le restanti vulnerabilità che Google ha affrontato questa settimana in Chrome. La più importante tra queste sembra essere stata CVE-2022-3039, una vulnerabilità ad alta gravità, user-after-free in WebSQL che due ricercatori del 360 Vulnerability Research Institute cinese hanno segnalato a Google. I ricercatori hanno ricevuto 10,000 dollari per aver segnalato il bug a Google: la cifra più alta assegnata finora.

Un altro difetto di grande impatto, use-after-free, nel layout di Chrome ha fruttato 9,000 dollari al ricercatore di sicurezza anonimo che ha segnalato il problema a Google. Le taglie per i bug rimanenti variavano da $ 1,000 a $ 7,500. Google non ha ancora determinato i premi per quattro segnalazioni di bug.

Come è diventata una pratica standard tra i principali fornitori, Google ha affermato di aver limitato l'accesso ai dettagli dei bug finché la maggior parte degli utenti non avrà l'opportunità di implementare la nuova versione stabile di Chrome.

"Manterremo anche le restrizioni se il bug esiste in una libreria di terze parti da cui dipendono in modo simile altri progetti ma che non sono stati ancora risolti", Google ha detto in un blog questa settimana. Un dirigente senior della sicurezza Microsoft aveva recentemente utilizzato lo stesso motivo per farlo spiegare perché anche le segnalazioni di bug di Microsoft contengono scarsi dettagli questi giorni.

Sebbene le correzioni dei bug siano quasi certamente il motivo principale per cui gli utenti potrebbero voler aggiornare alla versione stabile di Chrome 105, la nuova versione del browser introduce anche una manciata di funzionalità aggiuntive. Questi includono funzionalità che consentono agli sviluppatori di aggiungere pulsanti di controllo di Windows, come chiusura, ingrandimento o riduzione a icona, alle app Web progressive, una nuova API picture-in-picture per Chrome su Android e miglioramenti all'API di navigazione di Chrome.