Chrome mengeluarkan perbaikan zero-day yang mendesak – perbarui sekarang!

Google mendorong banyak perbaikan keamanan untuk kode browser Chrome dan Chromium awal minggu ini ...

…hanya untuk menerima laporan kerentanan dari para peneliti di perusahaan keamanan siber Avast pada hari yang sama.

Tanggapan Google adalah mendorong keluar pembaruan lain sesegera mungkin: perbaikan satu bug yang ditangani CVE-2022-3723, dideskripsikan dengan legalisme kita-tidak-tidak-tidak-tidak-tidak-tidak-tidak-tidak-tidak-tidak-dikonfirmasi-dan-tidak-menolak Google yang mengatakan:

Google mengetahui laporan bahwa eksploitasi untuk CVE-2022-3723 ada di alam liar.

(Apple juga secara teratur menggunakan rasa yang sama dari pemberitahuan OMG-semua-semua-ada-satu-hari, menggunakan kata-kata yang menyatakan bahwa "mengetahui laporan bahwa [suatu] masalah mungkin telah dieksploitasi secara aktif".)

Pembaruan Chrome ini berarti Anda sekarang sedang mencari nomor versi 107.0.5304.87 atau nanti.

Yang membingungkan, itulah nomor versi yang diharapkan di Mac atau Linux, sementara pengguna Windows mungkin mendapatkan 107.0.5304.87 or 107.0.5304.88, dan, tidak, kami tidak tahu mengapa ada dua angka berbeda di sana.

Untuk apa nilainya, penyebab lubang keamanan ini digambarkan sebagai "kebingungan ketik di V8", yang merupakan jargon untuk "ada bug yang dapat dieksploitasi di mesin JavaScript yang dapat dipicu oleh kode yang tidak dapat dipercaya dan data yang tidak dapat dipercaya yang masuk secara tidak sengaja dari luar".

Secara longgar, itu berarti hampir pasti bahwa hanya mengunjungi dan melihat situs web jebakan – sesuatu yang tidak seharusnya membawa Anda ke dalam bahaya sendiri – bisa cukup untuk meluncurkan kode jahat dan menanamkan malware di perangkat Anda, tanpa munculan apa pun atau peringatan unduhan lainnya.

Itulah yang dikenal dalam bahasa gaul cybercrime sebagai pemasangan drive-by.

“Sadar akan laporan”

Kami menduga, mengingat bahwa perusahaan keamanan siber melaporkan kerentanan ini, dan karena publikasi pembaruan satu-bug yang hampir segera, bahwa kelemahan itu terungkap selama penyelidikan aktif terhadap intrusi pada komputer atau jaringan pelanggan.

Setelah pembobolan yang tidak terduga atau tidak biasa, di mana jalur masuk yang jelas tidak muncul di log, pemburu ancaman biasanya beralih ke detail kasar dari log deteksi dan respons yang mereka miliki, mencoba menyatukan sistem- tingkat spesifik dari apa yang terjadi.

Mengingat bahwa eksploitasi eksekusi kode jarak jauh (RCE) browser sering kali melibatkan menjalankan kode tidak tepercaya yang berasal dari sumber yang tidak tepercaya dengan cara yang tidak terduga, dan meluncurkan utas eksekusi baru yang biasanya tidak muncul di log…

…akses ke data “respons ancaman” forensik yang cukup rinci mungkin tidak hanya mengungkapkan bagaimana penjahat masuk, tetapi juga di mana dan bagaimana dalam sistem mereka dapat melewati perlindungan keamanan yang biasanya ada.

Sederhananya, bekerja mundur dalam lingkungan di mana Anda dapat memutar ulang serangan berulang-ulang, dan melihat bagaimana itu terungkap, sering kali akan mengungkapkan lokasi, jika bukan pekerjaan yang tepat, dari kerentanan yang dapat dieksploitasi.

Dan, seperti yang dapat Anda bayangkan, melepaskan jarum dari tumpukan jerami dengan aman jauh lebih mudah jika Anda memiliki peta semua benda logam runcing di tumpukan jerami untuk memulai.

Singkatnya, yang kami maksud adalah bahwa ketika Google mengatakan "ia mengetahui laporan" dari serangan yang diluncurkan dengan mengeksploitasi Chrome di kehidupan nyata, kami siap berasumsi bahwa Anda dapat menerjemahkan ini menjadi "bug itu nyata, dan itu benar-benar dapat dieksploitasi, tetapi karena kami sendiri tidak benar-benar menyelidiki sistem yang diretas dalam kehidupan nyata, kami masih berada di tempat yang aman jika kami tidak langsung keluar dan berkata, 'Hei, semuanya, ini adalah 0-hari'. ”

Kabar baik tentang penemuan bug semacam ini adalah bahwa mereka mungkin membuka dengan cara ini karena penyerang ingin menjaga kerentanan dan trik yang diperlukan untuk mengeksploitasinya secara rahasia, mengetahui bahwa membual tentang teknik atau menggunakannya terlalu luas akan mempercepat penemuan dan sehingga memperpendek nilainya dalam serangan yang ditargetkan.

Eksploitasi RCE browser saat ini bisa sangat rumit untuk ditemukan dan mahal untuk diperoleh, mengingat betapa banyak upaya yang dilakukan organisasi seperti Mozilla, Microsoft, Apple, dan Google untuk memperkuat browser mereka terhadap trik eksekusi kode yang tidak diinginkan.

Dengan kata lain, waktu patching Google yang cepat, dan fakta bahwa sebagian besar pengguna akan menerima pembaruan dengan cepat dan otomatis (atau setidaknya semi-otomatis), berarti bahwa kita semua sekarang tidak hanya dapat mengejar para penjahat, tetapi juga kembali di depan mereka.

Apa yang harus dilakukan?

Meskipun Chrome mungkin akan memperbarui dirinya sendiri, kami selalu menyarankan untuk tetap memeriksanya.

Seperti disebutkan di atas, Anda sedang mencari 107.0.5304.87 (Mac dan Linux), atau salah satu dari 107.0.5304.87 dan 107.0.5304.88 (jendela).

penggunaan More > Bantuan > Tentang Google Chrome > Perbarui Google Chrome.

Rasa Chromium open-source dari browser, setidaknya di Linux, juga saat ini ada di versi 107.0.5304.87.

(Jika Anda menggunakan Chromium di Linux atau salah satu BSD, Anda mungkin perlu memeriksa kembali dengan pembuat distro Anda untuk mendapatkan versi terbaru.)

Kami tidak yakin apakah versi Android Chrome terpengaruh, dan jika demikian, nomor versi apa yang harus diwaspadai.

Anda dapat melihat pengumuman pembaruan yang akan datang untuk Android di Google Rilis Chrome blog.

Kami berasumsi bahwa browser berbasis Chrome di iOS dan iPadOS tidak terpengaruh, karena semua browser Apple App Store terpaksa menggunakan subsistem penjelajahan WebKit Apple, yang tidak menggunakan mesin JavaScript V8 Google.

Menariknya, pada saat penulisan [2022-10-29T14:00:00Z], catatan rilis Microsoft untuk Edge menjelaskan pembaruan tertanggal 2022-10-27 (dua hari setelah bug ini dilaporkan oleh para peneliti), tetapi tidak daftar CVE-2022-3723 sebagai salah satu perbaikan keamanan di build itu, yang diberi nomor 107.0.1418.24.

Oleh karena itu kami berasumsi bahwa mencari versi Edge apa pun yang lebih besar dari ini akan menunjukkan bahwa Microsoft telah menerbitkan pembaruan terhadap lubang ini.

Anda dapat mengawasi patch Edge melalui Microsoft Pembaruan Keamanan Tepi .

---