Google’ın bu hafta yayınlanan Windows, Mac ve Linux için Chrome 105’in ilk kararlı kanal sürümü, yazılımın önceki sürümlerinde bir “kritik” kusur ve şirketin “yüksek” olarak değerlendirdiği sekiz kusur da dahil olmak üzere 24 güvenlik açığı için düzeltmeler içeriyordu. ciddiyet.
Google’ın Chrome 105 ile ele aldığı güvenlik sorunlarının çoğu – dokuzu – sözde ücretsiz kullanım sonrası güvenlik açıkları veya saldırganların önceden boşaltılan bellek alanlarını kötü amaçlı kod yürütmek, verileri bozmak ve diğer kötü niyetli eylemlerde bulunmak için kullanmasına izin veren kusurlardı. . Yamalı güvenlik açıklarından dördü, WebUI ve Ekran Yakalama dahil olmak üzere çeşitli Chrome bileşenlerindeki yığın arabellek taşmalarıydı.
Saldırganlar genellikle rastgele kod yürütme, verilerin üzerine yazma, sistemlerin çökmesi ve hizmet reddi koşullarını tetikleme gibi çeşitli kötü amaçlı amaçlar için arabellek taşmalarından yararlanır.
Pano Üzerine Yazma
Google’ın panolarla ilgili güncelleme merkezlerinde düzeltmediği görünen bir sorun. Malwarebytes’e göre, Google Chrome – veya herhangi bir Chromium tabanlı tarayıcı – kullanıcıları bir web sitesini ziyaret ettiğinde, site, kullanıcının işletim sistemi panosuna istediği herhangi bir içeriği itebilirkullanıcının izni veya herhangi bir etkileşim olmadan.
Malwarebytes, “Bu, yalnızca bir web sitesini ziyaret ederek, panonuzdaki verilerin sizin izniniz veya bilginiz olmadan üzerine yazılabileceği anlamına gelir.” Dedi.
Güvenlik sağlayıcısı, bu, kullanıcıların başka bir yere kesmek ve yapıştırmak isteyebilecekleri değerli verileri kaybetmelerine neden olurken, saldırganlara bir kullanıcının sisteminde kötü amaçlı kod denemeleri ve gizlice girmeleri için bir fırsat verebileceğini söyledi. Malwarebytes, sorunun, kullanıcıların bir web sitesinden kullanıcının panosuna içerik kopyalamak için “Ctrl+C” kullanmak gibi belirli adımları atması için Chrome ve Chromium tabanlı tarayıcıda herhangi bir gereksinimin olmamasıyla ilgili olduğunu söyledi.
Güvenlik araştırmacısı Jeff Johnson, Chrome ile ilgili sorunu daha geniş bir sorunun parçası olarak belirledi hem Safari’yi hem de Firefox’u etkileyen ilave olarak. Bu haftaki bir raporda, “Chrome şu anda en kötü suçlu, çünkü panoya yazmak için kullanıcı hareketi gereksinimi 104 sürümünde yanlışlıkla bozuldu” dedi.
Ancak gerçek şu ki, Firefox ve Safari gibi diğer tarayıcıların kullanıcıları, web sitelerinin sistem panolarının üzerine yazdıklarından daha kolay bir şekilde sahip olabilirler, dedi Johnson. Bu tarayıcıların her ikisi de kullanıcıların web sitesi içeriğini panolarına kopyalamak için bazı eylemlerde bulunmalarını gerektirse de, eylemler hayal edebileceklerinden çok daha geniştir.
Johnson, örneğin, bir ekrana odaklanmak veya tuşa basma/tuşa ve fareyi aşağı/fareye basma gibi eylemler, web sitesi içeriğinin kullanıcının bilgisi olmadan panoya kopyalanmasına neden olabilir, dedi Johnson.
Araştırmacı, Chrome geliştiricilerinin sorunun zaten farkında olduğunu ve sorunu çözmekte olduğunu kaydetti. Google, yorum için bir Karanlık Okuma isteğine hemen yanıt vermedi.
Digital Shadows kıdemli siber tehdit analisti Ivan Righi, “Saldırganlar, kullanıcıların panolarına kötü amaçlı bağlantılar kopyalamak için bu hatayı kötüye kullanabilir, bu da kullanıcıların bu bağlantıları adres çubuklarına yapıştırmasına ve kötü niyetli sitelere yanlışlıkla erişmesine neden olabilir” diyor.
Righi, “Bu hatadan yararlanmanın bir başka yolu da sahte kripto para birimi işlemleri yapmaktır. Tehdit aktörleri, kullanıcıların işlemler için yanlış cüzdan adresleri girmesini sağlamak için sosyal mühendislik saldırılarıyla bağlantılı olarak kusurdan yararlanabilir” diyor. Ancak, bu tür saldırıların başarılı olma olasılığı düşüktür, çünkü kullanıcılar muhtemelen panolarına yerleştirilen anormal içerikleri fark edeceklerdir.
Çok Sayıda Kullanım Sonrası-Ücretsiz Sorun
Bu arada, Google’ın Chrome 105’in kararlı sürümüyle ele aldığı tek kritik güvenlik açığı (CVE-2022-3038), kendi Project Zero hata avlama ekibinden bir güvenlik araştırmacısı tarafından bildirildi: Google Chrome Ağ Hizmeti’ndeki ücretsiz kullanım sonrası kusur, uzak saldırganlar rasgele kod yürütmenin bir yolu
veya silahlı bir web sitesini ziyaret etmelerini sağlayarak kullanıcı sistemlerinde hizmet reddi koşullarını tetikleyebilir.
Harici hata avcıları ve güvenlik araştırmacıları, Google’ın bu hafta Chrome’da ele aldığı kalan tüm güvenlik açıklarını bildirdi. Bunlar arasında en önemli olanı, Çin 360 Güvenlik Açığı Araştırma Enstitüsü’nden iki araştırmacının Google’a bildirdiği, WebSQL’de yüksek öneme sahip, kullanıcı sonrası ücretsiz bir güvenlik açığı olan CVE-2022-3039 gibi görünüyor. Araştırmacılar, hatayı Google’a bildirdikleri için 10.000 dolar aldı – mevcut sette verilen en yüksek miktar.
Chrome Layout’taki bir başka yüksek etkili, ücretsiz kullanım sonrası kusur, sorunu Google’a bildiren anonim güvenlik araştırmacısı için 9.000 dolar kazandı. Kalan hatalar için ödüller 1.000 ila 7.500 dolar arasında değişiyordu. Google, dört hata açıklaması için henüz ödül belirlemedi.
Büyük satıcılar arasında standart bir uygulama haline gelen Google, çoğu kullanıcı Chrome’un yeni, kararlı sürümünü uygulama fırsatı bulana kadar hata ayrıntılarına erişimi kısıtladığını söyledi.
“Ayrıca, diğer projelerin benzer şekilde bağlı olduğu ancak henüz düzeltmediği bir üçüncü taraf kitaplığında hata varsa, kısıtlamaları da koruyacağız.” Google bu hafta bir blogda söyledi. Üst düzey bir Microsoft güvenlik yöneticisi, Microsoft’un hata açıklamalarının bu günlerde neden yetersiz ayrıntılar içerdiğini açıklamak için yakın zamanda aynı nedeni kullanmıştı.
Hata düzeltmeleri, kullanıcıların Chrome 105’in kararlı sürümüne güncelleme yapmak istemelerinin neredeyse kesin nedeni olsa da, yeni tarayıcı sürümü aynı zamanda bir dizi ek özellik de sunuyor. Bunlar şunları içerir: geliştiricilerin aşamalı Web uygulamalarına pencere denetimleri düğmesi eklemesine (örneğin kapatma, büyütme veya simge durumuna küçültme gibi), Android’de Chrome için yeni bir resim içinde resim API’si ve Chrome’un Gezinme API’sinde iyileştirmeler eklemesine olanak tanıyan özellikler.