Логотип Зефирнет

Chrome исправляет 8-й нулевой день 2022 года — проверьте свою версию сейчас

Дата:

Google только что исправил восьмую версию Chrome. дыра нулевого дня года до сих пор.

Нулевые дни — это ошибки, для которых не было нулевых дней, которые вы могли бы обновить заблаговременно…

…поскольку киберпреступники не только первыми обнаружили ошибку, но и выяснили, как использовать ее в гнусных целях, прежде чем патч был подготовлен и опубликован.

Итак, краткая версия этой статьи: перейдите в Chrome Трехточечное меню (⋮), выбрать Документи > О Chrome, и убедитесь, что у вас есть версия 107.0.5304.121 или позже.

Раскрытие нулевых дней

Два десятилетия назад нулевые дни часто очень быстро становились широко известными, как правило, по одной (или по обеим) из двух причин:

  • Для использования ошибки был выпущен самораспространяющийся вирус или червь. Это, как правило, не только привлекало внимание к дыре в безопасности и тому, как ею злоупотребляют, но и гарантировало, что автономные рабочие копии вредоносного кода были широко распространены для исследователей для анализа.
  • Охотник за ошибками, не заинтересованный в зарабатывании денег, выпустил пример кода и хвастался им. Как это ни парадоксально, это одновременно нанесло ущерб безопасности, предоставив киберпреступникам «бесплатный подарок» для немедленного использования в атаках, и помогло безопасности, привлекая исследователей и поставщиков для быстрого исправления или поиска обходного пути.

В наши дни игра нулевого дня несколько отличается, потому что современные средства защиты, как правило, затрудняют использование уязвимостей программного обеспечения.

Сегодняшние уровни защиты включают: дополнительные средства защиты, встроенные в сами операционные системы; более безопасные инструменты разработки программного обеспечения; более безопасные языки программирования и стили кодирования; и более мощные инструменты предотвращения киберугроз.

Например, в начале 2000-х — в эпоху сверхбыстро распространяющихся вирусов, таких как Красный код и SQL Slammer — почти любое переполнение буфера стека и многие, если не большинство переполнений буфера кучи, можно быстро превратить из теоретических уязвимостей в реальные эксплойты.

Другими словами, найти эксплойты и «удалить» 0-day иногда было почти так же просто, как найти основную ошибку.

И со многими пользователями, работающими с Administrator привилегии постоянно, как на работе, так и дома, злоумышленникам редко нужно было искать способы объединить эксплойты в цепочку, чтобы полностью захватить зараженный компьютер.

Но в 2020-х вполне работоспособно эксплойты удаленного выполнения кода - ошибки (или цепочки ошибок), которые злоумышленник может надежно использовать для внедрения вредоносных программ на ваш компьютер, например, просто соблазнив вас просмотреть одну страницу на заминированном веб-сайте, - как правило, гораздо сложнее найти, и они многого стоят в результате больше денег в киберподполье.

Проще говоря, те, кто сегодня заполучил эксплойты нулевого дня, как правило, больше не хвастаются ими.

Они также склонны не использовать их в атаках, которые сделали бы очевидным «как и почему» вторжение или которые привели бы к тому, что рабочие образцы кода эксплойта стали бы легко доступными для анализа и исследования.

В результате в наши дни нулевые дни часто замечают только после того, как группа реагирования на угрозы вызывается для расследования атаки, которая уже удалась, но когда обычные методы вторжения (например, фишинговые пароли, отсутствующие исправления или забытые серверы) не кажутся эффективными. были причиной.

Выявлено переполнение буфера

При этом теперь официально обозначенный CVE-2022-4135, баг Сообщалось собственной группой анализа угроз Google, но не был обнаружен заранее, учитывая, что Google признает, что это «зная, что эксплойт […] существует в дикой природе».

Уязвимости был присвоен High тяжести и описывается просто как: Переполнение буфера кучи в графическом процессоре.

Переполнение буфера обычно означает, что код из одной части программы записывает данные за пределы блоков памяти, официально выделенных ей, и искажает данные, на которые впоследствии будет полагаться (и, следовательно, будет неявно доверяться) какая-то другая часть программы.

Как вы понимаете, многое может пойти не так, если переполнение буфера может быть вызвано хитрым способом, позволяющим избежать немедленного сбоя программы.

Переполнение может быть использовано, например, для отравления имени файла, которое собирается использовать какая-то другая часть программы, заставляя ее записывать данные туда, куда не следует; или изменить назначение сетевого подключения; или даже изменить место в памяти, из которого программа будет выполнять следующий код.

Google прямо не говорит, как эта ошибка могла быть (или была) использована, но разумно предположить, что какое-то удаленное выполнение кода, что в значительной степени является синонимом «тайного внедрения вредоносного ПО», возможно, учитывая, что ошибка связано с неправильным управлением памятью.

Что делать?

Chrome и Chromium обновляются до 107.0.5304.121 на Mac и Linux, а также для 107.0.5304.121 or 107.0.5304.122 в Windows (нет, мы не знаем, почему существуют две разные версии), поэтому убедитесь, что у вас есть номера версий, равные этим или более новые.

Чтобы проверить версию Chrome и принудительно обновить ее, если вы отстаете, перейдите на страницу Трехточечное меню (⋮) и выберите Документи > О Chrome.

Microsoft Edge, как вы, вероятно, знаете, основан на коде Chromium (ядро Chrome с открытым исходным кодом), но не имел официального обновления со дня, когда исследователи угроз Google зарегистрировали эту ошибку (и не было обновления в котором явно перечислены все исправления безопасности с 2022 ноября 11 г.).

Таким образом, мы не можем сказать вам, затронут ли Edge или вам следует ожидать обновления для этой ошибки, но мы рекомендуем следить за Microsoft. официальные заметки на всякий случай.


Spot_img

Последняя разведка

Spot_img