Chrome 发布紧急零日修复 - 立即更新！

谷歌本周早些时候推出了一系列针对 Chrome 和 Chromium 浏览器代码的安全修复程序……

…只是在同一天收到网络安全公司 Avast 研究人员的漏洞报告。

谷歌的回应是推出 另一个更新 尽快：一个错误修复处理 CVE-2022-3723， 用谷歌惯用的“我们既不能确认也不能否认法律主义”来描述：

Google 获悉有关 CVE-2022-3723 漏洞利用的报道。

（Apple 还经常使用类似的 OMG-everybody-there's-an-0-day 通知，使用类似的词来表示它“知道有报告表明 [an] 问题可能已被积极利用”。）

此 Chrome 更新意味着您现在正在寻找的版本号 107.0.5304.87 或更高版本。

令人困惑的是，这是 Mac 或 Linux 上的版本号，而 Windows 用户可能会得到 107.0.5304.87 or 107.0.5304.88，而且，不，我们不知道为什么那里有两个不同的数字。

对于它的价值，这个安全漏洞的原因被描述为 “V8 中的类型混淆”，这是一个行话，意思是“JavaScript 引擎中存在一个可利用的错误，该错误可能由显然从外部无辜进入的不受信任的代码和不受信任的数据触发”。

粗略地说，这意味着几乎可以肯定的是，仅仅访问和查看一个被诱杀的网站——这不应该让你自己陷入危险的境地——就足以在你的设备上启动流氓代码和植入恶意软件，而不会出现任何弹出窗口或其他下载警告。

这就是网络犯罪俚语中所说的 路过式安装.

“了解报告”

我们猜测，鉴于一家网络安全公司报告了此漏洞，并且几乎立即发布了一个错误更新，该漏洞是在对客户计算机或网络入侵的积极调查过程中发现的。

在意外或不寻常的入侵之后，明显的进入路径根本不会出现在日志中，威胁猎手通常会转向他们可以使用的检测和响应日志的坚韧不拔的细节，试图拼凑系统 -发生的事情的级别细节。

鉴于浏览器远程代码执行 (RCE) 漏洞利用通常涉及以意外方式运行来自不受信任来源的不受信任代码，并启动通常不会出现在日志中的新执行线程……

…访问足够详细的取证“威胁响应”数据不仅可以揭示犯罪分子是如何进入的，还可以揭示他们能够在系统中的确切位置和方式绕过通常存在的安全保护。

简而言之，在一个您可以一遍又一遍地重放攻击并观察它如何展开的环境中进行反向工作，通常会揭示可利用漏洞的位置（如果不是确切的工作原理）。

而且，正如您可以想象的那样，如果您从草垛中所有尖头金属物体的地图开始，安全地从草垛中取出针头会容易得多。

简而言之，我们的意思是，当 Google 说“它知道报告”关于在现实生活中利用 Chrome 发起的攻击时，我们已经准备好假设您可以将其翻译为“错误是真实的，而且真的可以被利用，但因为我们自己并没有真正调查现实生活中的被黑系统，所以如果我们不直截了当地说，“嘿，大家，这是一个 0-day”，我们仍然处于安全的基础上。 ”

关于此类漏洞发现的好消息是，它们可能以这种方式展开，因为攻击者希望将漏洞和利用它所需的技巧保密，知道吹嘘该技术或过度使用它会加速它的发现和从而缩短其在针对性攻击中的价值。

考虑到 Mozilla、Microsoft、Apple 和 Google 等组织在加固其浏览器以防止不需要的代码执行技巧方面付出了多少努力，如今的浏览器 RCE 漏洞发现起来非常复杂，而且获取成本很高。

换句话说，谷歌的快速修补时间，以及大多数用户将快速自动（或至少半自动）接收更新的事实，意味着我们其他人现在不仅可以赶上骗子，而且可以回来在他们前面。

怎么办呢？

尽管 Chrome 可能会自行更新，但我们始终建议您进行检查。

如上所述，您正在寻找 107.0.5304.87 （Mac 和 Linux），或其中之一 107.0.5304.87 和 107.0.5304.88 （视窗）。

使用 更多 > 政策和帮助 > 关于谷歌Chrome浏览器 > 更新Google Chrome.

浏览器的开源 Chromium 风格，至少在 Linux 上，目前也是版本 107.0.5304.87.

（如果您在 Linux 或其中一种 BSD 上使用 Chromium，您可能需要与您的发行版制造商联系以获取最新版本。）

我们不确定 Chrome 的 Android 版本是否受到影响，如果受到影响，请注意哪个版本号。

您可以在 Google 上观看任何即将发布的 Android 更新公告 Chrome 发布 博客。

我们假设 iOS 和 iPadOS 上基于 Chrome 的浏览器不受影响，因为所有 Apple App Store 浏览器都被迫使用 Apple 的 WebKit 浏览子系统，该子系统不使用 Google 的 V8 JavaScript 引擎。

有趣的是，在撰写本文时 [2022-10-29T14:00:00Z]，Microsoft 的 Edge 发行说明描述了日期为 2022-10-27 的更新（研究人员报告此错误两天后），但没有将 CVE-2022-3723 列为该版本中的安全修复程序之一，编号为 107.0.1418.24.

因此，我们假设寻找任何大于此的 Edge 版本将表明 Microsoft 已针对此漏洞发布了更新。

您可以通过 Microsoft 关注 Edge 补丁 边缘安全更新 页面上发布服务提醒。

---