Google випускає восьмий патч Zero-Day 2023 року для Chrome

Google випустив термінове оновлення для усунення нещодавно виявленої вразливості в Chrome, яка активно використовувалася в дикій природі, ставши восьмою вразливістю нульового дня, виявленою для браузера у 2023 році.

Ідентифікований як CVE-2023-7024, Google заявив, що вразливість є значним недоліком переповнення буфера купи в модулі WebRTC Chrome, який дозволяє віддалене виконання коду (RCE).

WebRTC — це ініціатива з відкритим вихідним кодом, яка забезпечує спілкування в реальному часі через API, і користується широкою підтримкою серед провідних виробників браузерів.

Як CVE-2023-7024 загрожує користувачам Chrome

Ліонел Літті, головний архітектор безпеки в Menlo Security, пояснює, що ризик від експлуатації полягає в здатності досягти RCE у процесі візуалізації. Це означає, що зловмисник може запускати довільний двійковий код на комп’ютері користувача за межами пісочниці JavaScript.

Однак реальна шкода залежить від використання помилки як першого кроку в ланцюжку експлойтів; її потрібно поєднати з уразливістю пісочниці або в самому Chrome, або в ОС, щоб бути справді небезпечною.

«Однак цей код усе ще знаходиться в ізольованому програмному середовищі через багатопроцесну архітектуру Chrome, — говорить Літті, — тому лише з цією вразливістю зловмисник не може отримати доступ до файлів користувача чи розпочати розгортання зловмисного програмного забезпечення, і його опора на машині зникає, коли заражена вкладка ЗАЧИНЕНО."

Він зазначає, що функція ізоляції веб-сайтів Chrome зазвичай захищає дані з інших сайтів, тому зловмисник не може націлитися на банківську інформацію жертви, хоча він додає, що тут є деякі тонкі застереження.

Наприклад, це призведе до виявлення цільового джерела зловмисного походження, якщо вони використовують той самий сайт: іншими словами, гіпотетичний malicious.shared.com може бути націлений на žrtve.shared.com.

«Хоча для доступу до мікрофона чи камери потрібна згода користувача, доступ до самого WebRTC — ні», — пояснює Літті. «Цілком можливо, що ця вразливість може стати мішенню для будь-якого веб-сайту, не вимагаючи жодного введення користувача, окрім відвідування шкідливої ​​сторінки, тому з цієї точки зору загроза є значною».

Обрі Перін, провідний аналітик із аналізу загроз у відділі дослідження загроз Qualys, зазначає, що ця помилка виходить за межі Google Chrome.

«Експлуатація Chrome пов’язана з його повсюдністю — навіть Microsoft Edge використовує Chromium», — говорить він. «Отже, використання Chrome також потенційно може націлитися на користувачів Edge і дозволить зловмисникам ширше охопити».

І слід зазначити, що мобільні пристрої Android, які використовують Chrome, мають власний профіль ризику; у деяких сценаріях вони розміщують кілька сайтів в одному процесі візуалізації, особливо на пристроях, які не мають багато оперативної пам’яті.

Браузери залишаються головною мішенню для кібератак

Основні постачальники веб-переглядачів нещодавно повідомили про зростання кількості помилок нульового дня — про це повідомив лише Google п'ять із серпня.

Apple, Microsoft і Firefox є серед інших, які розкрили a ряд критичних вразливостей у своїх браузерах, включно з деякими нульовими днями.

Джозеф Карсон, головний спеціаліст із безпеки та консультант CISO у Delinea, каже, що не дивно, що спонсоровані державою хакери та кіберзлочинці націлюються на популярне програмне забезпечення, постійно шукаючи вразливості для використання.

«Це, як правило, призводить до більшої площі атаки через широке використання програмного забезпечення, численні платформи, цілі з високою вартістю та зазвичай відкриває двері для атак на ланцюги поставок», — говорить він.

Він зазначає, що ці типи вразливостей також потребують часу для багатьох користувачів, щоб оновити та виправити вразливі системи.

«Тому зловмисники, швидше за все, будуть націлюватися на ці вразливі системи протягом багатьох місяців», — говорить Карсон.

Він додає: «Оскільки ця вразливість активно використовується, це, ймовірно, означає, що багато систем користувачів уже зламано, і було б важливо мати можливість ідентифікувати пристрої, які стали цілями, і швидко виправити ці системи».

У результаті, зазначає Карсон, організації повинні дослідити чутливі системи з цією вразливістю, щоб визначити будь-які ризики або потенційний матеріальний вплив.

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• PlatoData.Network Vertical Generative Ai. Додайте собі сили. Доступ тут.
• PlatoAiStream. Web3 Intelligence. Розширення знань. Доступ тут.
• ПлатонЕСГ. вуглець, CleanTech, Енергія, Навколишнє середовище, Сонячна, Поводження з відходами. Доступ тут.
• PlatoHealth. Розвідка про біотехнології та клінічні випробування. Доступ тут.
• джерело: https://www.darkreading.com/cloud-security/google-eighth-zero-day-patch-2023-chrome