Chrome remediază a 8-a zi zero din 2022 – verifică-ți versiunea acum

Google tocmai a corectat al optulea lui Chrome gaura de zi zero a anului de până acum.

Zero-zile sunt erori pentru care au existat zero zile pe care le-ați fi putut actualiza proactiv...

… pentru că infractorii cibernetici nu numai că au găsit prima eroare, dar și-au dat seama și cum să o exploateze în scopuri nefaste înainte ca un patch să fie pregătit și publicat.

Deci, versiunea rapidă a acestui articol este: accesați Chrome Meniu cu trei puncte (⋮), alege Ajutor > Despre Chromeși verificați dacă aveți versiunea 107.0.5304.121 sau mai tarziu.

Descoperirea zilelor zero

În urmă cu două decenii, zilele zero au devenit adesea cunoscute pe scară largă foarte repede, de obicei din unul (sau ambele) din două motive:

• Un virus sau vierme care se răspândește singur a fost lansat pentru a exploata bug-ul. Acest lucru a avut nu numai tendința de a atrage atenția asupra gaurii de securitate și a modului în care a fost abuzată, ci și pentru a se asigura că copiile autonome și funcționale ale codului rău intenționat au fost aruncate departe pentru ca cercetătorii să le analizeze.
• Un vânător de erori nemotivat de a câștiga bani a lansat un cod exemplu și s-a lăudat cu el. În mod paradoxal, poate, acest lucru a afectat simultan securitatea, oferind un „cadou gratuit” infractorilor cibernetici pentru a-l folosi imediat în atacuri și a ajutat securitatea atragând cercetători și vânzători să o repare sau să găsească o soluție, rapid.

În zilele noastre, jocul zero-day este destul de diferit, deoarece apărările contemporane tind să facă vulnerabilitățile software mai greu de exploatat.

Straturile defensive de astăzi includ: protecții suplimentare integrate în sistemele de operare în sine; instrumente de dezvoltare software mai sigure; limbaje de programare și stiluri de codare mai sigure; și instrumente mai puternice de prevenire a amenințărilor cibernetice.

La începutul anilor 2000, de exemplu, era virușilor care se răspândesc foarte rapid, cum ar fi Cod roșu și SQL Slammer – aproape orice depășire de buffer de stivă și multe, dacă nu majoritatea depășirilor de buffer de heap, ar putea fi transformate din vulnerabilități teoretice în exploit-uri practicabile în ordine rapidă.

Cu alte cuvinte, găsirea exploit-urilor și „scăparea” zilelor 0 a fost uneori aproape la fel de simplă ca și găsirea erorii de bază.

Și cu mulți utilizatori care rulează cu Administrator privilegii tot timpul, atât la serviciu, cât și acasă, atacatorii rareori trebuiau să găsească modalități de a înlănțui exploatările pentru a prelua complet un computer infectat.

Dar în anii 2020, funcțional exploatările de execuție de cod la distanță – bug-uri (sau lanțuri de bug-uri) pe care un atacator le poate folosi în mod fiabil pentru a implanta malware pe computerul dvs., doar atrăgându-vă să vizualizați o singură pagină pe un site web cu capcane, de exemplu, sunt în general mult mai greu de găsit și valorează mult ca urmare, mai mulți bani în cyberunderground.

Mai simplu spus, cei care fac mâna pe exploatările zero-day în zilele noastre tind să nu se mai laude cu ele.

De asemenea, ei tind să nu le folosească în atacuri care ar face evident „cum și de ce” intruziunii sau care ar duce la ca mostre de lucru ale codului de exploatare să devină ușor disponibile pentru analiză și cercetare.

Ca urmare, zilele zero sunt adesea observate în aceste zile numai după ce o echipă de răspuns la amenințări este chemată să investigheze un atac care a reușit deja, dar în care metodele obișnuite de intruziune (de exemplu, parolele phishing, corecțiile lipsă sau serverele uitate) nu par să au fost cauza.

Debordarea tamponului expus

În acest caz, acum desemnat oficial CVE-2022-4135, gandacul a fost raportat de către propriul grup de analiză a amenințărilor Google, dar nu a fost găsit în mod proactiv, având în vedere că Google admite că este „conștient că o exploatare […] există în sălbăticie.”

Vulnerabilitatea a primit a Înalt gravitate și este descris simplu ca: Depășirea memoriei tampon în GPU.

Depășirile de buffer înseamnă, în general, că codul dintr-o parte a unui program scrie în afara blocurilor de memorie alocate oficial acestuia și călcă în picioare date pe care mai târziu se vor baza (și, prin urmare, vor fi implicit de încredere) de către o altă parte a programului.

După cum vă puteți imagina, există multe care pot merge prost dacă o depășire a memoriei tampon poate fi declanșată într-un mod amăgitor care evită o blocare imediată a programului.

Overflow-ul ar putea fi folosit, de exemplu, pentru a otrăvi un nume de fișier pe care o altă parte a programului este pe cale să-l folosească, determinându-l să scrie date acolo unde nu ar trebui; sau pentru a modifica destinația unei conexiuni la rețea; sau chiar pentru a schimba locația din memorie din care programul va executa codul în continuare.

Google nu spune în mod explicit cum ar putea fi (sau a fost) exploatat acest bug, dar este înțelept să presupunem că este posibilă un fel de execuție de cod la distanță, care este în mare parte sinonimă cu „implantarea secretă de malware”, având în vedere că eroarea implică o gestionare greșită a memoriei.

Ce să fac?

Chrome și Chromium sunt actualizate la 107.0.5304.121 pe Mac și Linux și pentru 107.0.5304.121 or 107.0.5304.122 pe Windows (nu, nu știm de ce există două versiuni diferite), așa că asigurați-vă că verificați dacă aveți numere de versiune egale sau mai recente decât acestea.

Pentru a verifica versiunea Chrome și pentru a forța o actualizare dacă sunteți în urmă, accesați Meniu cu trei puncte (⋮) și alegeți Ajutor > Despre Chrome.

Microsoft Edge, după cum probabil știți, se bazează pe codul Chromium (nucleul open-source al Chrome), dar nu a avut o actualizare oficială cu o zi înainte ca cercetătorii de amenințări de la Google să înregistreze această eroare (și nu a avut o actualizare). care listează în mod explicit orice remedieri de securitate din 2022-11-10).

Deci, nu vă putem spune dacă Edge este afectat sau dacă ar trebui să vă așteptați la o actualizare pentru acest bug, dar vă recomandăm să fiți cu ochii pe Microsoft. note de lansare oficiale doar în cazul în care.

---