Google Chrome ve Chromium tabanlı tarayıcılarda kullanılan V8 JavaScript ve WebAssembly motorunda yakın zamanda yamalanan kritik bir uzaktan kod yürütme güvenlik açığıyla ilgili ayrıntılar ortaya çıktı.
Sorun, komut optimizasyonu bileşeninde, başarılı bir şekilde kullanılması “saldırganın tarayıcı bağlamında rasgele kod yürütmesine izin verebilecek” olan, ücretsiz kullanım sonrası bir durumla ilgilidir.
Kusur, ki tespit edildi Chrome 101’in Dev kanalı sürümünde, Singapur siber güvenlik şirketinde güvenlik araştırmacısı olan Weibo Wang tarafından Google’a bildirildi Numen Siber Teknoloji ve o zamandan beri şirket tarafından sessizce düzeltildi.
“Bu güvenlik açığı, yanlış talimatın seçildiği ve bellek erişimi istisnasına neden olduğu talimat seçimi aşamasında meydana gelir.” dedi Wang.
Kullanım sonrası kusurlar meydana gelmek önceden boşaltılmış belleğe erişildiğinde, tanımsız davranışa neden olur ve bir programın çökmesine, bozuk veri kullanmasına ve hatta rastgele kod yürütülmesine neden olur.
Daha da endişe verici olan şey, güvenlik kısıtlamalarını aşmak ve hedeflenen sistemleri tehlikeye atmak için rastgele kod çalıştırmak için özel olarak tasarlanmış bir web sitesi aracılığıyla kusurdan uzaktan yararlanılabilmesidir.
Wang, “Bu güvenlik açığı, yığın püskürtme teknikleri kullanılarak daha fazla kullanılabilir ve ardından “tür karışıklığına” yol açar” dedi. “Açıklık, bir saldırganın işlev işaretçilerini kontrol etmesine veya bellekteki rastgele konumlara kod yazmasına ve sonuçta kod yürütülmesine yol açmasına olanak tanır.”
Şirket, güvenlik açığını henüz açıklamadı. Chromium hata izleyicisi portal, mümkün olduğunca çok kullanıcıya önce yama uygulanmış sürümü yüklemesini sağlar. Ayrıca Google, kararlı olmayan Chrome kanallarında bulunan güvenlik açıkları için CVE kimlikleri atamaz.
Chrome kullanıcıları, özellikle uygulamalarının en son Chrome özellikleri ve API değişiklikleriyle uyumlu olduğundan emin olmak için Chrome’un Dev sürümünü kullanan geliştiriciler, yazılımın mevcut en son sürümüne güncelleme yapmalıdır.
 |
| Güvenlik açığı yamalandıktan sonra TurboFan montaj talimatları |
Bu, V8’de ilk kez keşfedilen ücretsiz kullanım sonrası güvenlik açıkları değil. Google, 2021’de Chrome’da gerçek dünya saldırılarında istismar edilen bu tür yedi hatayı ele aldı. Bu yıl, Animasyon bileşeninde aktif olarak yararlanılan ücretsiz kullanım sonrası güvenlik açığını da düzeltti.