Googles første stabile kanalversjon av Chrome 105 for Windows, Mac og Linux, utgitt denne uken, inneholdt rettinger for 24 sårbarheter i tidligere versjoner av programvaren, inkludert en "kritisk" feil og åtte som selskapet vurderte som "høy" alvorlighetsgrad.
Flere – ni – av sikkerhetsproblemene som Google tok opp med Chrome 105 var såkalte use-after-free-sårbarheter, eller feil som lar angripere bruke tidligere frigjorte minneplasser til å kjøre ondsinnet kode, ødelegge data og utføre andre ondsinnede handlinger . Fire av de korrigerte sårbarhetene var store bufferoverløp i ulike Chrome-komponenter, inkludert WebUI og Screen Capture.
Angripere utnytter ofte bufferoverløp til en rekke ondsinnede formål, inkludert å kjøre tilfeldig kode, overskrive data, krasjer systemer og utløse tjenestenektforhold.
Utklippstavle overskriving
Et problem som Google ikke ser ut til å ha løst i oppdateringssentret rundt utklippstavler. Ifølge Malwarebytes, når brukere av Google Chrome – eller en hvilken som helst Chromium-basert nettleser – besøker et nettsted, nettstedet kan sende alt innhold de ønsker til brukerens OS-utklippstavle, uten brukerens tillatelse eller interaksjon.
"Dette betyr at ved ganske enkelt å besøke et nettsted, kan dataene på utklippstavlen din bli overskrevet uten ditt samtykke eller viten," sa Malwarebytes.
Dette kan resultere i at brukere mister verdifulle data de kanskje ønsket å klippe og lime inn andre steder, samtidig som det gir angripere en åpning for å prøve å snike ondsinnet kode på en brukers system, sa sikkerhetsleverandøren. Problemet har å gjøre med fraværet av noe krav i Chrome og Chromium-basert nettleser for at brukere skal ta spesifikke skritt som å bruke "Ctrl+C" for å kopiere innhold fra et nettsted til brukerens utklippstavle, sa Malwarebytes.
Sikkerhetsforsker Jeff Johnson identifiserte problemet med Chrome som en del av et bredere problem som påvirker både Safari og Firefox også. "Chrome er for øyeblikket den verste lovbryteren, fordi kravet til brukerbevegelser for å skrive til utklippstavlen ble brutt ved et uhell i versjon 104," sa han i en rapport denne uken.
Realiteten er imidlertid at brukere av andre nettlesere som Firefox og Safari kan ha nettsteder som overskriver systemutklippstavlene deres lettere enn de er klar over, sa Johnson. Selv om begge disse nettleserne krever at brukere tar noen handlinger for å kopiere nettstedinnhold til utklippstavlene, er handlingene mye bredere enn de kanskje forestiller seg.
For eksempel kan handlinger som å fokusere på en skjerm, eller å trykke på tast ned/tast og mus ned/mus opp, føre til at nettstedinnhold blir kopiert til utklippstavlen uten brukerens viten, sa Johnson.
Forskeren bemerket at Chrome-utviklere allerede er klar over problemet og tar tak i det. Google svarte ikke umiddelbart på en Dark Reading-forespørsel om kommentar.
"Angripere kan misbruke denne feilen for å kopiere ondsinnede lenker til brukernes utklippstavler, noe som kan føre til at brukere limer inn disse koblingene i adressefeltet og får tilgang til ondsinnede nettsteder ved et uhell," sier Ivan Righi, senior cybertrusselsanalytiker hos Digital Shadows.
"En annen måte denne feilen kan utnyttes på er å utføre falske kryptovalutatransaksjoner. Trusselaktører kan utnytte feilen i forbindelse med sosiale ingeniørangrep for å få brukere til å skrive inn feil lommebokadresser for transaksjoner, sier Righi. Sannsynligheten for at slike angrep lykkes er imidlertid lav fordi brukere sannsynligvis vil legge merke til unormalt innhold plassert på utklippstavlen deres, sier han.
En mengde bruk-etter-gratis-utgaver
I mellomtiden ble den eneste kritiske sårbarheten (CVE-2022-3038) som Google adresserte med den stabile versjonen av Chrome 105 rapportert av en sikkerhetsforsker fra sitt eget Project Zero-feiljaktteam: Den bruk-etter-frie feilen i Google Chrome Network Service gir eksterne angripere en måte å utføre vilkårlig kode på
eller utløse tjenestenekt-betingelser på brukersystemer ved å få dem til å besøke et våpenbeskyttet nettsted.
Eksterne feiljegere og sikkerhetsforskere rapporterte alle gjenværende sårbarheter som Google tok opp denne uken i Chrome. Den mest konsekvensmessige blant dem ser ut til å ha vært CVE-2022-3039, en høy-alvorlig, bruker-etter-fri sårbarhet i WebSQL som to forskere fra Kinas 360 Vulnerability Research Institute rapporterte til Google. Forskerne mottok $10,000 XNUMX for å rapportere feilen til Google - det høyeste beløpet som ble tildelt i det gjeldende settet.
En annen effektfull, bruk-etter-fri feil i Chrome Layout fikk $9,000 for den anonyme sikkerhetsforskeren som rapporterte problemet til Google. Dusørene for de gjenværende feilene varierte fra $1,000 til $7,500. Google har ennå ikke bestemt belønninger for fire feilavsløringer.
Som har blitt standard praksis blant store leverandører, sa Google at de har begrenset tilgangen til feildetaljer inntil de fleste brukere har mulighet til å implementere den nye, stabile versjonen av Chrome.
"Vi vil også beholde restriksjoner hvis feilen eksisterer i et tredjepartsbibliotek som andre prosjekter på samme måte er avhengige av, men som ennå ikke har fikset," Google sa i en blogg denne uken. En senior Microsoft-sikkerhetsleder hadde nylig brukt samme grunn til forklar hvorfor Microsofts feilavsløringer også inneholder få detaljer disse dager.
Selv om feilrettingene nesten helt sikkert er hovedgrunnen til at brukere kanskje vil oppdatere til den stabile versjonen av Chrome 105, introduserer den nye nettleserversjonen også en håndfull tilleggsfunksjoner. Disse inkluderer funksjoner som lar utviklere legge til Windows-kontrollknapp – for eksempel lukking, maksimering eller minimering – til progressive nettapper, en ny bilde-i-bilde API for Chrome på Android og forbedringer av Chromes Navigation API.
