Chromella on kiireellinen nollapäiväkorjaus – päivitä nyt!

Google julkaisi aiemmin tällä viikolla joukon tietoturvakorjauksia Chrome- ja Chromium-selainkoodiin…

…vain saada haavoittuvuusraportin kyberturvallisuusyhtiö Avastin tutkijoilta samana päivänä.

Googlen vastaus oli ajaa ulos toinen päivitys niin pian kuin mahdollista: yhden virheen korjaus CVE-2022-3723, kuvataan Googlen tavanomaisella emme-voi-vahvista-emme-kiellä laillisuutta sanomalla:

Google on tietoinen raporteista, joiden mukaan CVE-2022-3723:n hyväksikäyttö on olemassa luonnossa.

(Apple käyttää myös säännöllisesti samalla tavalla irrotettua OMG-kaikki-ei-0 päivää-ilmoitusta käyttämällä sanoja, joiden mukaan se "on tietoinen raportista, jonka mukaan ongelmaa on saatettu aktiivisesti hyödyntää".)

Tämä Chrome-päivitys tarkoittaa, että etsit nyt versionumeroa 107.0.5304.87 tai uudempi.

Hämmentävää, että tämä on odotettavissa oleva versionumero Macissa tai Linuxissa, kun taas Windows-käyttäjät voivat saada 107.0.5304.87 or 107.0.5304.88, ja ei, emme tiedä miksi siellä on kaksi eri numeroa.

Tämän turva-aukon syytä kuvailtiin näin "tyyppihämmennys V8:ssa", joka on ammattikieltä sanoille "JavaScript-moottorissa oli hyödynnettävä bugi, jonka saattoi laukaista epäluotettava koodi ja epäluotettava data, joka tuli ilmeisesti viattomasti ulkopuolelta".

Löyhästi sanottuna tämä tarkoittaa, että on lähes varmaa, että pelkkä vieraileminen ja katseleminen huijareissa olevalla verkkosivustolla – asia, jonka ei pitäisi johdattaa sinua haitaksi – saattaa riittää käynnistämään väärää koodia ja istuttamaan haittaohjelmia laitteellesi ilman ponnahdusikkunoita. tai muita latausvaroituksia.

Se tunnetaan kyberrikollisuuden slangissa nimellä a drive-by-asennus.

"Tietoja raporteista"

Arvelemme, että tietoverkkoturvayhtiö ilmoitti tästä haavoittuvuudesta ja koska yhden bugin päivityksen julkaiseminen lähes välittömästi, virhe paljastettiin asiakkaan tietokoneeseen tai verkkoon kohdistuvaa tunkeutumista koskevan aktiivisen tutkimuksen aikana.

Odottamattoman tai epätavallisen murtautumisen jälkeen, jossa ilmeiset sisääntuloreitit eivät yksinkertaisesti näy lokeissa, uhkien metsästäjät etsivät yleensä käytössään olevia havaitsemis- ja vastauslokien karkeita yksityiskohtia ja yrittävät koota järjestelmän. tapahtuneen tason erityispiirteet.

Ottaen huomioon, että selaimen etäkoodin suorittamisen (RCE) hyväksikäytöt sisältävät usein epäluotettavasta lähteestä tulevan epäluotettavan koodin suorittamisen odottamattomalla tavalla ja käynnisti uuden suoritussäikeen, joka ei normaalisti näy lokeissa…

…pääsy riittävän yksityiskohtaisiin rikosteknisiin "uhkavastaustietoihin" ei välttämättä paljasta vain sitä, kuinka rikolliset pääsivät sisään, vaan myös tarkalleen missä ja miten järjestelmässä he pystyivät ohittamaan normaalisti käytössä olevat suojaukset.

Yksinkertaisesti sanottuna, työskentely taaksepäin ympäristössä, jossa voit toistaa hyökkäyksen uudestaan ​​​​ja uudestaan ​​​​ja seurata sen etenemistä, paljastaa usein hyödynnettävän haavoittuvuuden sijainnin, ellei sen tarkan toiminnan.

Ja kuten voit kuvitella, neulan turvallinen poistaminen heinäsuovasta on paljon, paljon helpompaa, jos sinulla on aluksi kartta kaikista heinäsuovasta terävistä metalliesineistä.

Lyhyesti sanottuna tarkoitamme sitä, että kun Google sanoo "se on tietoinen raporteista" hyökkäyksestä, joka on käynnistetty Chromen hyväksikäytöllä tosielämässä, olemme valmiita olettamaan, että voit kääntää tämän sanaksi "virhe on todellinen, ja se todella voidaan hyödyntää, mutta koska emme itse tutkineet hakkeroitua järjestelmää tosielämässä, olemme silti turvallisella pohjalla, jos emme tule suoraan ulos ja sano: "Hei, kaikki, nyt on 0 päivää". ”

Hyvä uutinen tämän tyyppisistä bugilöydöistä on, että ne ilmenivät luultavasti tällä tavalla, koska hyökkääjät halusivat pitää sekä haavoittuvuuden että sen hyödyntämiseen tarvittavat temput salassa, tietäen, että tekniikalla kerskuminen tai sen liian laaja käyttö nopeuttaisi sen löytämistä. lyhentää siten sen arvoa kohdistetuissa hyökkäyksissä.

Nykypäivän selaimen RCE-hyödynnät voivat olla pirun monimutkaisia ​​löytää ja kalliita hankkia, kun otetaan huomioon, kuinka paljon vaivaa Mozillan, Microsoftin, Applen ja Googlen kaltaiset organisaatiot tekevät kovettaakseen selaimiaan ei-toivottuja koodin suoritustemppuja vastaan.

Toisin sanoen Googlen nopea korjausaika ja se, että useimmat käyttäjät saavat päivityksen nopeasti ja automaattisesti (tai ainakin puoliautomaattisesti), tarkoittavat, että me muut eivät voi nyt vain saada roistot kiinni, vaan myös palata takaisin. heidän edellään.

Mitä tehdä?

Vaikka Chrome todennäköisesti päivittää itsensä, suosittelemme tarkistamista joka tapauksessa.

Kuten edellä mainittiin, etsit 107.0.5304.87 (Mac ja Linux) tai yksi niistä 107.0.5304.87 ja 107.0.5304.88 (Windows).

Käyttää Lisää: > Apu: > Tietoja Google Chromesta > Päivitä Google Chrome.

Selaimen avoimen lähdekoodin Chromium-maku, ainakin Linuxissa, on myös tällä hetkellä versiossa 107.0.5304.87.

(Jos käytät Chromiumia Linuxissa tai jollakin BSD:stä, saatat joutua tarkistamaan distribution valmistajaltasi uusimman version.)

Emme ole varmoja, vaikuttaako tämä Chromen Android-versioon, ja jos on, mitä versionumeroa kannattaa huomioida.

Voit seurata tulevia Android-päivitysilmoituksia Googlen kautta Chrome julkaisee blogi.

Oletamme, että tämä ei vaikuta Chrome-pohjaisiin iOS- ja iPadOS-selaimiin, koska kaikki Applen App Store -selaimet ovat pakotettuja käyttämään Applen WebKit-selausalijärjestelmää, joka ei käytä Googlen V8 JavaScript -moottoria.

Mielenkiintoista on, että kirjoitushetkellä [2022-10-29T14:00:00Z] Microsoftin Edgen julkaisutiedoissa kuvattiin päivitys, joka on päivätty 2022-10-27 (kaksi päivää sen jälkeen, kun tutkijat ilmoittivat tästä virheestä), mutta se ei listaa CVE-2022-3723 yhdeksi tietoturvakorjauksesta kyseisessä koontiversiossa, joka oli numeroitu 107.0.1418.24.

Tästä syystä oletamme, että tätä suuremman Edge-version etsiminen osoittaa, että Microsoft on julkaissut päivityksen tätä aukkoa vastaan.

Voit pitää silmällä Edge-korjauksia Microsoftin kautta Edgen tietoturvapäivitykset sivu.

---