Dva dny po vydání opravné verze Chromu, která odstranila kritickou zranitelnost , Google oznámil vydání další aktualizace pro Chrome 88.0.4324.150, která opravuje zranitelnost CVE-2021-21148, kterou hackeři již využívají v exploitech (0-day).
Podrobnosti zatím teprve budou odhaleny, je známo, že zranitelnost je způsobena pouze přetečením zásobníku v modulu JavaScript V8.
O chybě zabezpečení opravené v prohlížeči Chrome
Někteří analytici spekulují, že zranitelnost byla použita v exploitu použitém při útoku ZINC z konce ledna proti bezpečnostním výzkumníkům (loni byl na Twitteru a různých sociálních sítích propagován fiktivní výzkumník, který si zpočátku získal pozitivní reputaci publikováním recenzí a článků o nových zranitelnostech, ale při publikování jiného článku jsem použil exploit s 0-day zranitelností, která po kliknutí na odkaz v Chromu pro Windows spustí kód do systému).
Problému je přiřazena vysoká, ale nikoli kritická úroveň nebezpečí; to znamená, že zranitelnost neumožňuje obejít všechny úrovně ochrany prohlížeče a není dostatečná ke spuštění kódu v systému mimo prostředí sandboxu.
Chyba zabezpečení v prohlížeči Chrome sama o sobě neumožňuje obejít prostředí izolovaného prostoru a pro plnohodnotný útok je v operačním systému vyžadována další chyba zabezpečení.
Kromě toho se v poslední době objevilo několik publikací Googlu týkajících se bezpečnosti :
- Zpráva o zneužití se zranitelností dne 0 identifikovaný týmem Project Zero v loňském roce. Tento článek poskytuje statistiky o 25% zranitelností studovaný den 0 přímo souvisel s dříve veřejně zveřejněnými a opravenými zranitelnostmi, to znamená, že autoři exploitů dne 0 našli nový vektor útoku kvůli nedostatečně úplné nebo špatné kvalitě opravy (například vývojáři zranitelných programů často speciální případ nebo jen předstírat, že jde o opravu, aniž byste se dostali ke kořeni problému).
Těmto zranitelnostem nulového dne bylo potenciálně možné zabránit dalším vyšetřováním a nápravou těchto zranitelností. - Zpráva o poplatcích, které Google platí výzkumným pracovníkům identifikovat zranitelná místa. V roce 6.7 bylo vyplaceno pojistné celkem 2020 milionu USD, což je o 280,000 2019 USD více než v roce 2018 a téměř dvojnásobek oproti roku 662. Bylo vyplaceno celkem 132.000 cen. Největší cena byla XNUMX XNUMX $.
- 1,74 milionu USD bylo vynaloženo na platby související se zabezpečením platformy Android, 2,1 milionu USD - Chrome, 270 400 USD - Google Play a XNUMX XNUMX USD na výzkumné granty.
- Byl představen rámec „Know, Prevent, Repair“ spravovat metadata o nápravě zranitelnosti, monitorovat opravy, odesílat oznámení o nových zranitelnostech, udržovat databázi s informacemi o zranitelnostech, sledovat zranitelnosti podle závislostí a analyzovat riziko projevu zranitelnosti pomocí závislostí.
Jak nainstalovat nebo aktualizovat na novou verzi Google Chrome?
První věc, kterou byste měli udělat, je zkontrolovat, zda je aktualizace již k dispozici . Chcete-li to provést , přejděte na chrome://settings/help a zobrazí se vám oznámení, že je k dispozici aktualizace.
Pokud tomu tak není, budete muset zavřít prohlížeč a stáhnout balíček z oficiálních webových stránek Google Chrome. Chcete-li balíček získat, přejděte na následující odkaz.
Nebo z terminálu pomocí:
[sourcecode text = "bash"] wget https://dl.google.com/linux/direct/google-chrome-stable_current_amd64.deb[/sourcecode]
Jakmile je balíček stažen, můžete provést instalaci přímo pomocí preferovaného správce balíčků nebo z terminálu zadáním následujícího příkazu:
[sourcecode text = "bash"] sudo dpkg -i google-chrome-stable_current_amd64.deb [/ sourcecode]
A v případě problémů se závislostmi je můžete vyřešit zadáním následujícího příkazu:
[sourcecode text = "bash"] sudo apt install -f [/ sourcecode]
Pro systémy, které podporují balíčky RPM, jako jsou CentOS, RHEL, Fedora, openSUSE a odvozené verze, je nutné stáhnout balíček rpm, který lze získat z následujícího odkazu.
Po stažení musíte balíček nainstalovat pomocí preferovaného správce balíčků , nebo to můžete provést z terminálu pomocí následujícího příkazu:
[sourcecode text = "bash"] sudo rpm -i google-chrome-stable_current_x86_64.rpm [/ sourcecode]
V případě Arch Linuxu a systémů z něj odvozených, jako jsou Manjaro, Antergos a další, můžeme aplikaci nainstalovat z repozitářů AUR.
Jednoduše musí do terminálu zadat následující příkaz:
[sourcecode text = "bash"] yay -S google-chrome [/ sourcecode]