Chrome выпускает срочное исправление нулевого дня — обновите сейчас!

Ранее на этой неделе Google выпустила ряд исправлений безопасности для кода браузеров Chrome и Chromium…

…только для того, чтобы в тот же день получить отчет об уязвимости от исследователей компании Avast, занимающейся кибербезопасностью.

Ответ Google состоял в том, чтобы вытолкнуть другое обновление как только это было возможно: исправление одной ошибки, касающееся CVE-2022-3723, описывается с помощью обычной для Google фразы «мы не можем ни подтвердить, ни опровергнуть законничество»:

Google известно о сообщениях о существовании эксплойта для CVE-2022-3723.

(Apple также регулярно использует аналогичный отстраненный вариант уведомления OMG-все-есть-0-день, используя слова о том, что «ей известно об отчете о том, что [некоторая] проблема могла быть активно использована».)

Это обновление Chrome означает, что теперь вы ищете номер версии 107.0.5304.87 или позже.

Как ни странно, это номер версии, ожидаемый на Mac или Linux, в то время как пользователи Windows могут получить 107.0.5304.87 or 107.0.5304.88, и нет, мы не знаем, почему там два разных числа.

Что бы это ни стоило, причина этой дыры в безопасности была описана как «путаница с типом в V8», что на жаргоне означает «в движке JavaScript была эксплуатируемая ошибка, которая могла быть вызвана ненадежным кодом и ненадежными данными, поступившими, по-видимому, невинно извне».

Грубо говоря, это почти наверняка означает, что простого посещения и просмотра веб-сайта-ловушки — чего-то, что само по себе не должно привести вас к опасности — может быть достаточно, чтобы запустить мошеннический код и внедрить вредоносное ПО на ваше устройство без каких-либо всплывающих окон. или другие предупреждения о загрузке.

Это то, что известно на жаргоне киберпреступников как попутная установка.

«В курсе отчетов»

Мы предполагаем, учитывая, что компания, занимающаяся кибербезопасностью, сообщила об этой уязвимости, и учитывая почти немедленную публикацию обновления с одной ошибкой, уязвимость была обнаружена в ходе активного расследования вторжения в компьютер или сеть клиента.

После неожиданного или необычного взлома, когда очевидные пути входа просто не отображаются в журналах, охотники за угрозами обычно обращаются к мельчайшим подробностям имеющихся в их распоряжении журналов обнаружения и реагирования, пытаясь собрать воедино систему. уровень специфики произошедшего.

Учитывая, что эксплойты удаленного выполнения кода в браузере (RCE) часто включают запуск ненадежного кода, который пришел из ненадежного источника неожиданным образом и запускает новый поток выполнения, который обычно не отображается в журналах…

… доступ к достаточно подробным криминалистическим данным «реагирования на угрозы» может не только показать, как преступники проникли внутрь, но и точно определить, где и как в системе они смогли обойти средства защиты, которые обычно были бы на месте.

Проще говоря, работа в обратном направлении в среде, в которой вы можете повторять атаку снова и снова и наблюдать, как она разворачивается, часто выявляет местоположение, если не точную работу, уязвимости, которую можно использовать.

И, как вы понимаете, безопасно извлечь иголку из стога сена намного проще, если у вас есть карта всех остроконечных металлических предметов в стоге сена для начала.

Короче говоря, мы имеем в виду, что, когда Google говорит, что «ему известно об отчетах» об атаке, запущенной с использованием Chrome в реальной жизни, мы готовы предположить, что вы можете перевести это как «ошибка реальна, и она действительно могут быть использованы, но поскольку мы на самом деле сами не исследовали взломанную систему в реальной жизни, мы все еще в безопасности, если не выйдем прямо и не скажем: «Эй, всем, это нулевой день». ”

Хорошей новостью об обнаружении ошибок такого рода является то, что они, вероятно, развивались таким образом, потому что злоумышленники хотели сохранить в секрете как уязвимость, так и приемы, необходимые для ее эксплуатации, зная, что хвастовство техникой или слишком широкое ее использование ускорит ее обнаружение и таким образом сократить его значение в целевых атаках.

Сегодняшние эксплойты RCE для браузеров могут быть чертовски сложными для обнаружения и дорогими для приобретения, учитывая, сколько усилий такие организации, как Mozilla, Microsoft, Apple и Google, вложили в защиту своих браузеров от нежелательных трюков выполнения кода.

Другими словами, быстрое время исправления Google и тот факт, что большинство пользователей получат обновление быстро и автоматически (или, по крайней мере, полуавтоматически), означает, что остальные из нас теперь могут не только догнать мошенников, но и вернуться впереди них.

Что делать?

Несмотря на то, что Chrome, вероятно, будет обновляться сам, мы все равно всегда рекомендуем проверять.

Как упоминалось выше, вы ищете 107.0.5304.87 (Mac и Linux) или один из 107.0.5304.87 и 107.0.5304.88 (Виндовс).

Используйте Больше > Документи > О Google Chrome > Обновите Google Chrome.

Вариант браузера Chromium с открытым исходным кодом, по крайней мере, для Linux, также в настоящее время находится в версии 107.0.5304.87.

(Если вы используете Chromium в Linux или одной из BSD, вам может потребоваться обратиться к производителю дистрибутива, чтобы получить последнюю версию.)

Мы не уверены, затронута ли версия Chrome для Android, и если да, то на какой номер версии обратить внимание.

Вы можете следить за объявлениями о предстоящих обновлениях для Android на сайте Google. Релизы Chrome блог.

Мы предполагаем, что браузеры на основе Chrome в iOS и iPadOS не затронуты, потому что все браузеры Apple App Store вынуждены использовать подсистему просмотра WebKit от Apple, которая не использует движок Google V8 JavaScript.

Интересно, что на момент написания статьи [2022-10-29T14:00:00Z] в примечаниях к выпуску Microsoft для Edge описывалось обновление, датированное 2022 октября 10 г. (через два дня после того, как исследователи сообщили об этой ошибке), но не указать CVE-27-2022 как одно из исправлений безопасности в этой сборке, которая была пронумерована 107.0.1418.24.

Поэтому мы предполагаем, что поиск любой версии Edge выше этой будет указывать на то, что Microsoft опубликовала обновление для этой дыры.

Вы можете следить за исправлениями Edge через Microsoft Обновления пограничной безопасности стр.

---