Chrome ブラウザは 11 のセキュリティ修正を 1 つのゼロデイで取得 - 今すぐ更新!

Google の最新のアップデート Chromeブラウザ がリリースされ、XNUMX 部構成のバージョン番号が 104.0.5112.101 (Mac および Linux)、または 104.0.5112.102 （ウィンドウズ）。

Google によると、新しいバージョンには 11 のセキュリティ修正が含まれており、そのうちの XNUMX つには次の注釈が付けられています。 「[この脆弱性に対する] エクスプロイトが実際に存在します」、ゼロデイホールになります。

ゼロデイという名前は、最も知識が豊富で積極的なユーザーまたはシステム管理者でさえ、悪者よりも先にパッチを適用できた可能性があるゼロデイがあったことを思い出させます。

詳細を更新

最近の他の多くのベンダーと同様に、Google はバグの詳細へのアクセスを制限しているため、更新に関する詳細はほとんどありません。 「大多数のユーザーが修正で更新されるまで」.

しかし、Google の リリース速報 次のように、10 個のバグのうち 11 個を明示的に列挙します。

• CVE-2022-2852： FedCM で無料後に使用します。
• CVE-2022-2854： SwiftShader で解放した後に使用します。
• CVE-2022-2855： ANGLEでは無料でご利用いただけます。
• CVE-2022-2857： ブリンクでフリー後に使用します。
• CVE-2022-2858： サインインフローで無料後に使用します。
• CVE-2022-2853： ダウンロードでのヒープ バッファ オーバーフロー。
• CVE-2022-2856： インテントでの信頼できない入力の検証が不十分です。 (ゼロデイ)
• CVE-2022-2859： Chrome OS Shell で解放後に使用します。
• CVE-2022-2860： Cookie でのポリシーの適用が不十分です。
• CVE-2022-2861： Extensions API での不適切な実装。

ご覧のとおり、これらのバグのうち XNUMX つはメモリの管理ミスが原因でした。

A 使用-後フリー 脆弱性とは、Chrome の一部が、これ以上使用する予定のないメモリ ブロックを返したため、ソフトウェアの別の場所で使用するために再割り当てされる可能性があることを意味します…

…とにかくそのメモリを使い続けるためだけに、ソフトウェアの別の部分がまだそのデータを改ざんしている可能性があることに気付かずに、Chrome の一部が信頼できると思っていたデータに依存する可能性があります。

多くの場合、この種のバグは、計算やメモリ アクセスを回復不可能な方法で混乱させることにより、ソフトウェアを完全にクラッシュさせます。

ただし、時々、use-after-free バグを故意にトリガーして、ソフトウェアを誤動作させ (たとえば、セキュリティ チェックをスキップしたり、入力データの間違ったブロックを信頼したりするなど)、不正な動作を引き起こすことがあります。

A ヒープ バッファ オーバーフロー メモリのブロックを要求することを意味しますが、安全に収まるよりも多くのデータを書き出します。

これにより、公式に割り当てられたバッファがオーバーフローし、次のメモリ ブロックのデータが上書きされます。そのメモリは、プログラムの他の部分で既に使用されている可能性があります。

したがって、バッファ オーバーフローは通常、use-after-free バグと同様の副作用を引き起こします。ほとんどの場合、脆弱なプログラムはクラッシュします。 ただし、プログラムがだまされて、警告なしに信頼できないコードを実行する場合があります。

ゼロデイホール

ゼロデイバグ CVE-2022-2856 上で見た以上の詳細は示されていません: 「インテントでの信頼できない入力の検証が不十分です。」

クローム 意図 は、Web ページからアプリを直接トリガーするためのメカニズムです。このメカニズムでは、Web ページ上のデータが、そのデータを処理するために起動される外部アプリにフィードされます。

Google は、このバグによって悪意を持って操作される可能性のあるアプリやデータの種類について、詳細を提供していません…

…しかし、既知のエクスプロイトが、通常はセキュリティ上の理由でブロックされるような危険なデータをローカル アプリに密かに供給することを含む場合、危険性はかなり明白に思えます。

何をするか？

Chromeはおそらく自動的に更新されますが、とにかくチェックすることを常にお勧めします。

WindowsとMacでは、 その他 > カスタマーサービス > GoogleのChromeについて > Google Chromeを更新する.

の別のリリース速報があります iOS用Chrome、バージョンに移動します 104.0.5112.99、しかし Android 用の Chrome について言及しているセキュリティ情報はまだ [2022-08-17T12:00Z] ありません。

iOS では、App Store アプリが最新であることを確認します。 (これを行うには、App Store アプリ自体を使用します。)

Android に関する今後のアップデートの発表は、Google で見ることができます。 Chromeリリース ブログ

プロプライエタリな Chrome ブラウザーのオープンソースの Chromium バリアントも現在、 104.0.5112.101.

マイクロソフトエッジ セキュリティに関する注意事項ただし、現在 [2022-08-17T12:00Z] は次のように述べています。

2022 年 8 月 16 日

Microsoft は、最近のエクスプロイトが実際に存在していることを認識しています。 Chromium チームから報告されたように、セキュリティ パッチのリリースに積極的に取り組んでいます。

Microsoft の公式サイトで Edge の更新に注意してください。 エッジ セキュリティ アップデート ページで見やすくするために変数を解析したりすることができます。

---