Chrome, acil sıfır gün düzeltmesi yapıyor - şimdi güncelleyin!

Google, bu hafta başlarında Chrome ve Chromium tarayıcı kodu için bir dizi güvenlik düzeltmesi yayınladı…

…sadece aynı gün siber güvenlik şirketi Avast'taki araştırmacılardan bir güvenlik açığı raporu almak için.

Google'ın yanıtı dışarı itmek oldu başka bir güncelleme mümkün olan en kısa sürede: ile ilgili tek hata düzeltmesi CVE-2022-3723, Google'ın geleneksel olarak açıkladıkları-nor-nor-deny hukukçülüğü şunları söylüyor:

Google, CVE-2022-3723 için bir açıktan yararlanmanın doğada mevcut olduğuna dair raporların farkındadır.

(Apple, aynı zamanda, "[bir] sorunun aktif olarak istismar edilmiş olabileceğine dair bir raporun farkında olduğu" anlamına gelen sözcükleri kullanarak, OMG-herkes-orada-bir-0-gün bildiriminin benzer şekilde devre dışı bırakılmış bir biçimini düzenli olarak kullanır.)

Bu Chrome güncellemesi, şu anda bir sürüm numarası aradığınız anlamına gelir. 107.0.5304.87 veya sonrası.

Şaşırtıcı bir şekilde, Mac veya Linux'ta beklenen sürüm numarası budur, ancak Windows kullanıcıları 107.0.5304.87 or 107.0.5304.88, ve hayır, orada neden iki farklı sayı olduğunu bilmiyoruz.

Değeri ne olursa olsun, bu güvenlik açığının nedeni olarak tanımlandı. “V8'de tip karışıklığı”, "JavaScript motorunda güvenilmeyen kod ve dışarıdan görünüşte masum bir şekilde gelen güvenilmeyen veriler tarafından tetiklenebilecek istismar edilebilir bir hata vardı" için kullanılan jargondur.

Basitçe söylemek gerekirse, bu, yalnızca bubi tuzağına sahip bir web sitesini ziyaret etmenin ve görüntülemenin - sizi kendi başına zarara sokmaması gereken bir şey - herhangi bir açılır pencere olmadan sahte kod başlatmak ve cihazınıza kötü amaçlı yazılım yerleştirmek için yeterli olabileceği anlamına gelir. veya diğer indirme uyarıları.

Siber suç argosunda bilinen şey budur. sürücü yükleme.

“Raporlardan haberdar”

Bir siber güvenlik şirketinin bu güvenlik açığını bildirdiğini ve tek hata güncellemesinin neredeyse anında yayınlanmasını göz önünde bulundurarak, bir müşterinin bilgisayarına veya ağına izinsiz girişe yönelik aktif bir soruşturma sırasında kusurun ortaya çıktığını tahmin ediyoruz.

Beklenmedik veya olağandışı bir girişten sonra, bariz giriş yollarının günlüklerde görünmediği durumlarda, tehdit avcıları genellikle ellerindeki tespit ve yanıt günlüklerinin cesur ayrıntılarına dönerek sistemi bir araya getirmeye çalışırlar. ne olduğuna dair seviye özellikleri.

Tarayıcı uzaktan kod yürütme (RCE) istismarlarının genellikle güvenilmeyen bir kaynaktan beklenmedik bir şekilde gelen güvenilmeyen kodu çalıştırmayı içerdiği ve normalde günlüklerde görünmeyecek yeni bir yürütme dizisi başlattığı göz önüne alındığında…

…yeterince ayrıntılı adli “tehdit müdahalesi” verilerine erişim, yalnızca suçluların içeri nasıl girdiğini değil, aynı zamanda normalde mevcut olan güvenlik korumalarını sistemde tam olarak nerede ve nasıl atlayabildiklerini de ortaya çıkarabilir.

Basitçe söylemek gerekirse, bir saldırıyı tekrar tekrar oynayabileceğiniz ve nasıl geliştiğini izleyebileceğiniz bir ortamda geriye doğru çalışmak, istismar edilebilir bir güvenlik açığının tam olarak çalışıp çalışmadığı değilse bile, genellikle yerini ortaya çıkaracaktır.

Ve tahmin edebileceğiniz gibi, başlangıçta samanlıktaki tüm sivri uçlu metal nesnelerin bir haritanız varsa, bir iğneyi samanlıktan güvenli bir şekilde çıkarmak çok, çok daha kolaydır.

Kısacası demek istediğimiz şu ki, Google gerçek hayatta Chrome'dan yararlanılarak başlatılan bir saldırının "raporların farkındadır" dediğinde, bunu "hata gerçek ve gerçekten istismar edilebilir, ancak gerçek hayatta saldırıya uğramış sistemi kendimiz araştırmadığımız için, dışarı çıkıp 'Hey millet, bu bir 0 günlük' demezsek, hala güvenli zemindeyiz. ”

Bu tür hata keşifleriyle ilgili iyi haber, muhtemelen bu şekilde ortaya çıktılar çünkü saldırganlar hem güvenlik açığını hem de onu kullanmak için gereken hileleri gizli tutmak istediler, teknik hakkında övünmenin veya onu çok yaygın kullanmanın keşfini hızlandıracağını ve böylece hedefli saldırılarda değerini kısaltır.

Mozilla, Microsoft, Apple ve Google gibi kuruluşların tarayıcılarını istenmeyen kod yürütme hilelerine karşı sertleştirmek için ne kadar çaba harcadıklarını düşünürsek, günümüzün tarayıcı RCE açıklarını keşfetmesi son derece karmaşık ve edinmesi pahalı olabilir.

Başka bir deyişle, Google'ın hızlı yama süresi ve çoğu kullanıcının güncellemeyi hızlı ve otomatik olarak (veya en azından yarı otomatik olarak) alacağı gerçeği, geri kalanımızın artık yalnızca sahtekarları yakalamakla kalmayıp geri dönebileceği anlamına geliyor. önlerinde.

Ne yapalım?

Chrome muhtemelen kendini güncelleyecek olsa da, yine de her zaman kontrol etmenizi öneririz.

Yukarıda belirtildiği gibi, aradığınız 107.0.5304.87 (Mac ve Linux) veya aşağıdakilerden biri 107.0.5304.87 ve 107.0.5304.88 (Windows).

kullanım Daha > Destek > Google Chrome Hakkında > Google Chrome'u güncelle.

Tarayıcının açık kaynaklı Chromium tadı, en azından Linux'ta şu anda sürümde 107.0.5304.87.

(Chromium'u Linux'ta veya BSD'lerden birinde kullanıyorsanız, en son sürümü almak için dağıtım oluşturucunuzla tekrar görüşmeniz gerekebilir.)

Chrome'un Android sürümünün etkilenip etkilenmediğinden ve etkileniyorsa hangi sürüm numarasına dikkat etmemiz gerektiğinden emin değiliz.

Android için yapılacak herhangi bir güncelleme duyurusunu Google'ın sitesinde izleyebilirsiniz. Chrome Bültenleri blogu.

Tüm Apple App Store tarayıcıları, Google'ın V8 JavaScript motorunu kullanmayan Apple'ın WebKit tarama alt sistemini kullanmak zorunda olduğundan, iOS ve iPadOS'taki Chrome tabanlı tarayıcıların etkilenmediğini varsayıyoruz.

İlginç bir şekilde, [2022-10-29T14:00:00Z] yazarken, Microsoft'un Edge için sürüm notları 2022-10-27 (bu hatanın araştırmacılar tarafından rapor edilmesinden iki gün sonra) tarihli bir güncellemeyi açıkladı, ancak açıklama yapmadı. CVE-2022-3723'ü, numaralandırılmış bu yapıdaki güvenlik düzeltmelerinden biri olarak listeleyin 107.0.1418.24.

Bu nedenle, bundan daha büyük herhangi bir Edge sürümü aramanın Microsoft'un bu deliğe karşı bir güncelleme yayınladığını göstereceğini varsayıyoruz.

Microsoft'un sunduğu Edge yamalarını göz önünde bulundurabilirsiniz. Uç Güvenlik Güncellemeleri gidin.

---