Chrome は 8 年の 2022 番目のゼロデイを修正します – 今すぐバージョンを確認してください

Google は Chrome の XNUMX 番目のパッチを適用しました ゼロデイホール これまでの年の。

ゼロデイとは、事前に更新できた可能性がゼロデイだったバグのことです…

…サイバー犯罪者は最初にバグを発見しただけでなく、パッチが準備されて公開される前に、悪意のある目的でそれを悪用する方法を考え出したからです.

したがって、この記事の簡単なバージョンは次のとおりです。Chrome の XNUMX ドット メニュー (⋮)、選択 カスタマーサービス > Chromeについて、バージョンがあることを確認します 107.0.5304.121 以降。

ゼロデイの発見

XNUMX 年前、ゼロデイは非常に急速に広く知られるようになりました。通常、次の XNUMX つの理由のいずれか (または両方) が原因です。

• このバグを悪用するために、自己拡散型のウイルスまたはワームがリリースされました。 これは、セキュリティ ホールとそれがどのように悪用されているかに注目を集めるだけでなく、研究者が分析できるように、悪意のあるコードの自己完結型の作業コピーが広範囲に拡散されることを確実にする傾向がありました。
• 金儲けに興味のないバグハンターがサンプルコードを公開して自慢した。 おそらく皮肉なことに、これはサイバー犯罪者に「無償の贈り物」を渡してすぐに攻撃に使用することでセキュリティを損なうと同時に、研究者やベンダーを引き付けて修正や回避策を迅速に考え出すことでセキュリティを助けました。

最近のゼロデイ ゲームはかなり異なります。現代の防御策では、ソフトウェアの脆弱性が悪用されにくくなっている傾向があるためです。

今日の防御層には次のものがあります。オペレーティング システム自体に組み込まれた追加の保護。 より安全なソフトウェア開発ツール。 より安全なプログラミング言語とコーディング スタイル。 より強力なサイバー脅威防止ツール。

たとえば、2000 年代初頭には、次のような超高速で広がるウイルスの時代でした。 レッドコード SQL Slammer – ほぼすべてのスタック バッファ オーバーフロー、およびほとんどではないにしても多くのヒープ バッファ オーバーフローは、理論上の脆弱性から実用的なエクスプロイトにすぐに変わる可能性があります。

つまり、エクスプロイトを見つけて 0-day を「ドロップ」することは、最初に根本的なバグを見つけるのと同じくらい簡単な場合がありました。

そして、多くのユーザーが Administrator 攻撃者は、職場でも家庭でも常に特権を持っているため、感染したコンピューターを完全に乗っ取るためにエクスプロイトを連鎖させる方法を見つける必要はほとんどありませんでした。

しかし、2020年代には、実行可能です リモートコード実行エクスプロイト – バグ (またはバグの連鎖) は、攻撃者がマルウェアをコンピューターに埋め込むために確実に使用できます。たとえば、ブービー トラップされた Web サイトの XNUMX つのページを表示するように誘導するだけです – 通常、見つけるのははるかに難しく、多くの価値がありますその結果、サイバーアンダーグラウンドでより多くのお金が流れます。

簡単に言えば、最近ゼロデイ エクスプロイトを入手した人は、それを自慢しなくなっている傾向にあります。

また、侵入の「方法と理由」を明らかにするような攻撃や、分析や研究のためにエクスプロイト コードの実際のサンプルがすぐに利用できるようになるような攻撃では、それらを使用しない傾向があります。

その結果、最近では、すでに成功しているが、一般的な侵入方法 (パスワードのフィッシング、パッチの欠落、サーバーの忘れなど) が有効ではないように思われる攻撃を調査するために、脅威対応チームが呼び出された後にのみ、ゼロデイに気付くことがよくあります。原因となっています。

バッファ オーバーフローが公開されました

この場合、現在正式に指定されています CVE-2022-4135、 不具合 報告された Google 自身の Threat Analysis Group によって発見されましたが、積極的に発見されたわけではありません。 「エクスプロイト […] が実際に存在することに注意してください。」

脆弱性には ハイ 重大度であり、次のように簡単に説明されます。 GPU でのヒープ バッファ オーバーフロー.

バッファ オーバーフローとは、通常、プログラムの一部のコードが公式に割り当てられたメモリ ブロックの外側に書き込み、プログラムの他の部分が後で依存する (したがって暗黙的に信頼される) データを踏みにじることを意味します。

ご想像のとおり、バッファー オーバーフローが不正な方法でトリガーされ、プログラムの即時クラッシュを回避できる場合、多くの問題が発生する可能性があります。

オーバーフローは、たとえば、プログラムの他の部分が使用しようとしているファイル名を汚染するために使用される可能性があり、データを本来あるべきでない場所に書き込む可能性があります。 またはネットワーク接続の宛先を変更する。 または、プログラムが次にコードを実行するメモリ内の場所を変更することさえできます。

Google は、このバグがどのように悪用される可能性があるか (または実際に悪用されたか) を明確に述べていませんが、「マルウェアの不正な埋め込み」とほぼ同義である、ある種のリモート コード実行が可能であると仮定するのが賢明です。記憶の管理ミスを伴います。

何をするか？

Chrome と Chromium が更新されます 107.0.5304.121 Mac と Linux で、そして 107.0.5304.121 or 107.0.5304.122 Windows では (なぜ XNUMX つの異なるバージョンがあるのか​​はわかりません)、バージョン番号がそれらと同じか、それよりも新しいかどうかを必ず確認してください。

Chrome のバージョンを確認し、遅れている場合は更新を強制するには、 XNUMX ドット メニュー (⋮) を押して選択 カスタマーサービス > Chromeについて.

おそらくご存じのとおり、Microsoft Edge は Chromium コード (Chrome のオープンソース コア) に基づいていますが、Google の脅威研究者がこのバグを記録する前日以来、公式の更新はありませんでした (そして更新はありませんでした)。 2022 年 11 月 10 日以降のセキュリティ修正が明示的にリストされています)。

そのため、Edge が影響を受けるかどうか、またはこのバグの更新を期待する必要があるかどうかはわかりませんが、Microsoft の情報に注意することをお勧めします。 公式リリースノート 念のため。

---