Chrome пуска спешна корекция за нулев ден – актуализирайте сега! – Гола сигурност

Google пусна куп пачове за сигурност за Chrome и кода на браузъра Chromium по-рано тази седмица…

…само за да получите доклад за уязвимости от изследователи от фирмата за киберсигурност Avast същия ден.

Отговорът на Google беше да пусне друга актуализация възможно най-скоро: корекция на грешка, занимаваща се с CVE-2022-3723, описано с обичайния легализъм на Google: не можем нито да потвърдим, нито да отречем:

Google е запознат с доклади, че експлойт за CVE-2022-3723 съществува в природата.

(Apple също редовно използва подобен неангажиран аромат на известие OMG-everyone-a-0-day-prije, използвайки думи в смисъл, че „е наясно с доклад, който [an] проблемът може да е бил активно използван”.)

Тази актуализация на Chrome означава, че сега търсите номер на версия на 107.0.5304.87 или по-късно.

Объркващо това е номерът на версията, който трябва да се очаква на Mac или Linux, докато потребителите на Windows могат да получат 107.0.5304.87 Където 107.0.5304.88и не, не знаем защо тук има две различни числа.

Колкото и да си струва, причината за този пропуск в сигурността е описана като “объркване на типа във V8”което е жаргон за „има експлоатируем бъг в двигателя на JavaScript, който може да бъде задействан от ненадежден код и ненадеждни данни, които привидно невинно идват отвън“.

По принцип това означава, че е почти сигурно, че самото посещение и разглеждане на блокиран уебсайт – нещо, което не би трябвало да ви застрашава само по себе си – може да е достатъчно, за да стартира злонамерен код и да постави злонамерен софтуер на вашето устройство, без никакви изскачащи UPS. или други предупреждения за изтегляне.

Това се нарича на киберпрестъпен жаргон a монтаж в автомобил.

„Наясно с докладите“

Предполагаме, като се има предвид, че компания за киберсигурност съобщи за тази уязвимост и като се има предвид почти незабавното пускане на актуализация на грешка, че пропускът е открит по време на активно разследване на проникване в компютър или мрежа на клиент.

След неочаквано или необичайно проникване, при което очевидните пътеки за влизане просто не се показват в регистрационните файлове, ловците на заплахи обикновено се обръщат към зърнестите детайли на достъпните им регистрационни файлове за откриване и отговор, опитвайки се да сглобят системата. подробности за случилото се.

Тъй като подвизите за отдалечено изпълнение на код в браузъра (RCE) често включват изпълнение на ненадежден код от ненадежден източник по неочакван начин и стартира нова нишка за изпълнение, която обикновено не се появява във вестниците…

…достъпът до достатъчно подробни криминалистични данни за „отговор на заплаха“ може не само да разкрие как престъпниците са влезли, но и точно къде и как в системата са успели да заобиколят защитните защити, които нормално биха били налице.

Казано по-просто, работата в обратна посока в среда, в която можете да възпроизвеждате атака отново и отново и да наблюдавате как се развива, често ще разкрие местоположението, ако не и точната работа, на използваема уязвимост.

И както можете да си представите, безопасното премахване на игла от купа сено е много, много по-лесно, ако имате карта на всички остри метални предмети в купа сено като начало.

Накратко, това, което имаме предвид, е, че когато Google казва, че „той е запознат с доклади“ за стартирана атака, използваща Chrome в реалния живот, ние сме готови да приемем, че можете да преведете това на „бъгът е реален и наистина е може да се използва, но тъй като всъщност не сме изследвали хакната система в реалния живот, все още сме на сигурно място, ако не кажем директно: „Хей, всички, ден нула е“.

Добрата новина за подобни открития на грешки е, че те вероятно са се случили по този начин, защото нападателите са искали да запазят в тайна както уязвимостта, така и триковете, необходими за нейното използване, знаейки, че хваленето с техниката или твърде широкото й използване ще ускори откриването й и по този начин съкращава стойността му при насочени атаки.

RCE подвизите в днешните браузъри могат да бъдат изключително сложни за откриване и скъпи за придобиване, като се имат предвид усилията на организации като Mozilla, Microsoft, Apple и Google да защитят своите браузъри срещу трикове за изпълнение на код.

С други думи, бързото време за актуализиране на Google и фактът, че повечето потребители ще получат актуализацията бързо и автоматично (или поне полуавтоматично), означава, че останалите от нас вече могат не само да наваксат измамниците, но и да се върнат пред тях.

Какво да правя?

Въпреки че Chrome вероятно ще се актуализира, все пак препоръчваме да проверите.

Както бе споменато по-горе, вие търсите 107.0.5304.87 (Mac и Linux), или един от 107.0.5304.87 и 107.0.5304.88 (Прозорците).

Използвайте След > Да помогна > Относно Google Chrome > Актуализирайте Google Chrome.

Версията Chromium с отворен код на браузъра, поне на Linux, също е в момента на пускане. 107.0.5304.87.

(Ако използвате Chromium на Linux или някоя от BSD, може да се наложи да се консултирате с производителя на вашата дистрибуция за най-новата версия.)

Не знаем дали версията на Chrome за Android е засегната и ако е така, какъв номер на версията да търсим.

Можете да следите за предстоящи съобщения за актуализации на Android в блога на Google за издания на Chrome.

Предполагаме, че базираните на Chrome браузъри на iOS и iPadOS не са засегнати, тъй като всички браузъри в App Store на Apple са принудени да използват подсистемата на браузъра WebKit на Apple, която не използва V8 JavaScript двигателя на Google.

Интересното е, че към момента на писане [2022-10-29T14:00:00Z]Бележките за изданието на Microsoft за Edge описват актуализация с дата 2022-10-27 (два дни след докладването на тази грешка от изследователи), но не изброяват CVE-2022-3723 като една от корекциите за сигурност на тази версия, която беше номерирана 107.0.1418.24.

Така че предполагаме, че търсенето на версия на Edge, по-висока от тази, ще означава, че Microsoft е пуснала актуализация срещу тази дупка.

Можете да следите корекциите на Edge чрез страницата за актуализации за защита на Edge на Microsoft.


.

Add Comment