Chrome tarayıcı, 11 sıfır gün ile 1 güvenlik düzeltmesi alır - şimdi güncelleyin!

Google'ın son güncellemesi Chrome tarayıcı çıktı, dört parçalı sürüm numarasını 104.0.5112.101 (Mac ve Linux) veya 104.0.5112.102 (Windows).

Google'a göre, yeni sürüm 11 güvenlik düzeltmesi içeriyor ve bunlardan biri şu açıklamayla açıklanıyor: “vahşi doğada [bu güvenlik açığı için] bir istismar var”, onu sıfır gün deliği yapıyor.

Sıfır gün adı, en bilgili ve proaktif kullanıcı veya sistem yöneticisinin bile Kötü Adamlar'ın önüne geçebileceği sıfır günlerin olduğunu hatırlatır.

Ayrıntıları güncelle

Google'ın bu günlerde diğer birçok satıcıyla ortak olarak hata ayrıntılarına erişimi kısıtladığı göz önüne alındığında, güncellemelerle ilgili ayrıntılar yetersiz. "kullanıcıların çoğu bir düzeltmeyle güncellenene kadar".

Ama Google'ın yayın bülteni 10 hatadan 11'unu açıkça şöyle sıralar:

• CVE-2022-2852: FedCM'de serbest kaldıktan sonra kullanın.
• CVE-2022-2854: SwiftShader'da serbest kaldıktan sonra kullanın.
• CVE-2022-2855: ANGLE'da serbest kaldıktan sonra kullanın.
• CVE-2022-2857: Blink'te serbest kaldıktan sonra kullanın.
• CVE-2022-2858: Oturum Açma Akışında ücretsiz olduktan sonra kullanın.
• CVE-2022-2853: İndirmelerde yığın arabellek taşması.
• CVE-2022-2856: Amaçlarda güvenilmeyen girişin yetersiz doğrulaması. (Sıfır gün.)
• CVE-2022-2859: Chrome OS Shell'de ücretsiz olduktan sonra kullanın.
• CVE-2022-2860: Çerezlerde yetersiz politika uygulaması.
• CVE-2022-2861: Uzantılar API'sinde uygunsuz uygulama.

Gördüğünüz gibi, bu hataların yedisi bellek yanlış yönetiminden kaynaklandı.

A use-after-özgür güvenlik açığı, Chrome'un bir bölümünün, yazılımın başka bir yerinde kullanılmak üzere yeniden tahsis edilebilmesi için artık kullanmayı planlamadığı bir bellek bloğunu geri verdiği anlamına gelir…

…yalnızca yine de bu belleği kullanmaya devam etmek için, böylece potansiyel olarak Chrome'un bir bölümünün, yazılımın başka bir bölümünün hala bu verilerle oynuyor olabileceğini fark etmeden güvenebileceğini düşündüğü verilere güvenmesine neden olur.

Genellikle, bu tür hatalar, hesaplamaları veya bellek erişimini kurtarılamaz bir şekilde karıştırarak yazılımın tamamen çökmesine neden olur.

Bununla birlikte, bazen, yazılımı yanlış yönlendirmek için (örneğin bir güvenlik kontrolünü atlayarak veya yanlış giriş verileri bloğuna güvenerek) ve yetkisiz davranışlara neden olacak şekilde yazılımı yanlış yönlendirmek için ücretsiz kullanım sonrası hatalar kasıtlı olarak tetiklenebilir.

A yığın arabellek taşması bir bellek bloğu istemek, ancak buna güvenli bir şekilde sığacak olandan daha fazla veri yazmak anlamına gelir.

Bu, resmi olarak tahsis edilen arabelleği aşar ve bu bellek, programın başka bir bölümü tarafından zaten kullanılıyor olsa bile, sonraki bellek bloğundaki verilerin üzerine yazar.

Bu nedenle arabellek taşmaları, tipik olarak, kullanım sonrası kullanım hatalarına benzer yan etkiler üretir: çoğunlukla, savunmasız program çökecektir; Ancak bazen program, uyarılmadan güvenilmeyen kodu çalıştırması için kandırılabilir.

sıfır gün delik

sıfır gün hatası CVE-2022-2856 yukarıda gördüğünüzden daha fazla ayrıntıyla sunulmuyor: "Intents'te güvenilmeyen girişin yetersiz doğrulaması."

bir krom Niyet Web sayfasındaki verilerin, bu verileri işlemek için başlatılan harici bir uygulamaya beslendiği, uygulamaları doğrudan bir web sayfasından tetikleyen bir mekanizmadır.

Google, bu hata tarafından hangi uygulamaların veya ne tür verilerin kötü amaçlı olarak manipüle edilebileceğine dair herhangi bir ayrıntı sağlamadı…

… ancak bilinen istismar, yerel bir uygulamayı normalde güvenlik gerekçesiyle engellenecek türden riskli verilerle sessizce beslemeyi içeriyorsa, tehlike oldukça açık görünüyor.

Ne yapalım?

Chrome muhtemelen kendini güncelleyecektir, ancak yine de her zaman kontrol etmenizi öneririz.

Windows ve Mac'te şunu kullanın: Daha > Destek > Google Chrome Hakkında > Google Chrome'u güncelle.

için ayrı bir yayın bülteni var. iOS için Chrome, hangi sürüme gider 104.0.5112.99, ancak henüz Android için Chrome'dan bahseden bir bülten [2022-08-17T12:00Z] yok.

iOS'ta, App Store uygulamalarınızın güncel olup olmadığını kontrol edin. (Bunu yapmak için App Store uygulamasının kendisini kullanın.)

Android ile ilgili gelecek güncelleme duyurularını Google'ın web sitesinde izleyebilirsiniz. Chrome Bültenleri blog

Tescilli Chrome tarayıcısının açık kaynaklı Chromium varyantı da şu anda sürümde 104.0.5112.101.

Microsoft Kenar güvenlik notları, ancak şu anda [2022-08-17T12:00Z] şunu söylüyor:

Ağustos 16, 2022

Microsoft, vahşi doğada mevcut olan son istismarın farkındadır. Chromium ekibi tarafından bildirildiği üzere bir güvenlik düzeltme eki yayınlamak için aktif olarak çalışıyoruz.

Microsoft'un resmi sitesinde bir Edge güncellemesi için gözünüzü dört açabilirsiniz. Uç Güvenlik Güncellemeleri gidin.

---