גוגל משחררת את התיקון השמיני של Zero-Day של 2023 עבור Chrome

גוגל פרסמה עדכון דחוף לטפל בפגיעות שהתגלתה לאחרונה ב-Chrome שנמצאה תחת ניצול פעיל בטבע, ומציינת את הפגיעות השמינית של יום אפס שזוהתה עבור הדפדפן ב-2023.

מזוהה כ CVE-2023-7024, גוגל אמרה שהפגיעות היא פגם משמעותי בהצפת חיץ בערימה במודול WebRTC של Chrome המאפשר ביצוע קוד מרחוק (RCE).

WebRTC היא יוזמת קוד פתוח המאפשרת תקשורת בזמן אמת באמצעות ממשקי API, ונהנית מתמיכה רחבה בקרב יצרניות הדפדפנים המובילות.

כיצד CVE-2023-7024 מאיים על משתמשי Chrome

ליונל ליטי, ארכיטקט אבטחה ראשי ב-Menlo Security, מסביר שסיכון מניצול הוא היכולת להשיג RCE בתהליך העיבוד. המשמעות היא ששחקן גרוע יכול להריץ קוד בינארי שרירותי על המחשב של המשתמש, מחוץ לארגז החול של JavaScript.

עם זאת, נזק אמיתי מסתמך על שימוש בבאג כשלב הראשון בשרשרת ניצול; זה צריך להיות משולב עם פגיעות בריחה של ארגז חול בכרום עצמו או במערכת ההפעלה כדי להיות מסוכן באמת.

"עם זאת, הקוד הזה עדיין בארגז חול בגלל ארכיטקטורת ריבוי התהליכים של Chrome", אומרת ליטי, "אז רק עם הפגיעות הזו, תוקף לא יכול לגשת לקבצים של המשתמש או להתחיל לפרוס תוכנות זדוניות, ודריסת הרגל שלו על המחשב נעלמת כשהכרטיסייה המושפעת היא סָגוּר."

הוא מציין שהתכונה של בידוד אתרים של Chrome תגן בדרך כלל על נתונים מאתרים אחרים, כך שתוקף לא יכול למקד את המידע הבנקאי של הקורבן, למרות שהוא מוסיף שיש כאן כמה אזהרות עדינות.

לדוגמה, זה יחשוף מקור יעד למקור הזדוני אם הם משתמשים באותו אתר: במילים אחרות, malicious.shared.com היפותטי יכול למקד לvictim.shared.com.

"למרות שגישה למיקרופון או למצלמה מצריכה הסכמת המשתמש, הגישה ל-WebRTC עצמה לא עושה זאת", מסבירה ליטי. "ייתכן שפגיעות זו יכולה להיות ממוקדת על ידי כל אתר מבלי לדרוש שום קלט משתמש מעבר לביקור בדף הזדוני, כך שמנקודת מבט זו האיום הוא משמעותי."

אוברי פרין, מנתחת מודיעין איומים מובילה ב-Qualys Threat Research Unit, מציינת כי טווח ההגעה של הבאג משתרע מעבר ל-Google Chrome.

"הניצול של Chrome קשור להימצאות שלו בכל מקום - אפילו Microsoft Edge משתמשת ב-Chromium", הוא אומר. "לכן, ניצול Chrome עשוי גם למקד למשתמשי Edge ולאפשר לשחקנים רעים טווח רחב יותר."

ויש לציין שלמכשירי Android הניידים המשתמשים בכרום יש פרופיל סיכון משלהם; הם מכניסים אתרים מרובים לאותו תהליך עיבוד בתרחישים מסוימים, במיוחד במכשירים שאין להם הרבה זיכרון RAM.

דפדפנים נשארים יעד מוביל להתקפות סייבר

ספקי דפדפנים גדולים דיווחו לאחרונה על מספר הולך וגדל של באגים של יום אפס - גוגל לבדה דיווחה חמישה מאז אוגוסט.

אפל, מיקרוסופט ופיירפוקס הן בין האחרות שחשפו א סדרה של פגיעויות קריטיות בדפדפנים שלהם, כולל כמה ימים אפס.

ג'וזף קרסון, מדען אבטחה ראשי ו-CISO מייעץ ב-Delinea, אומר שזה לא מפתיע שהאקרים ופושעי סייבר בחסות הממשלה מכוונים לתוכנה הפופולרית, ומחפשים כל הזמן נקודות תורפה לניצול.

"זה מוביל בדרך כלל למשטח תקיפה גדול יותר בגלל השימוש הנרחב בתוכנה, פלטפורמות מרובות, מטרות בעלות ערך גבוה, ובדרך כלל פותח את הדלת להתקפות שרשרת האספקה", הוא אומר.

הוא מציין שסוגים אלה של פגיעויות לוקח זמן למשתמשים רבים לעדכן ולתקן מערכות פגיעות.

"לכן, כנראה שתוקפים יתמקדו במערכות הפגיעות הללו במשך חודשים רבים קדימה", אומר קרסון.

הוא מוסיף, "מכיוון שהפגיעות הזו מנוצלת באופן פעיל, סביר להניח שמשמעות הדבר היא שמערכות משתמשים רבות כבר נפגעו ויהיה חשוב להיות מסוגל לזהות מכשירים שהוכוונו ולתקן במהירות את המערכות הללו".

כתוצאה מכך, מציין קרסון, ארגונים צריכים לחקור מערכות רגישות עם פגיעות זו כדי לקבוע סיכונים או השפעה מהותית אפשרית.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/cloud-security/google-eighth-zero-day-patch-2023-chrome