Funkcie systému Chrome OS s telefónmi so systémom Android, ako je MacOS, fungujú s telefónom iPhone
Vývojári webového prehliadača Google Chrome vydali na Halloween mimoriadnu aktualizáciu. Aktualizácia je určená pre všetky stabilné verzie populárneho webového prehliadača naprieč všetkými platformami, čo je jasným indikátorom závažnosti aktualizácie. Zdá sa, že cieľom bezpečnostnej aktualizácie je čeliť nie jednej, ale dvom bezpečnostným zraniteľnostiam. Viac sa týka toho, že jedna z bezpečnostných chýb má nultý deň vykorisťovať vo voľnej prírode už teraz .
Kaspersky Exploit Prevention, aktívna súčasť detekcie hrozieb produktov Kaspersky, zachytila nové neznáme zneužitie pre prehliadač Google Chrome. Tím nahlásil svoje zistenia bezpečnostnému tímu Google Chrome a zahrnul tiež Proof of Concept (PoC). Po krátkej kontrole bol Google jasne presvedčený, že vo webovom prehliadači Google Chrome skutočne existuje aktívna 0-denná chyba zabezpečenia. Po rýchlom eskalácii problému na najvyššiu prioritu vydal Google núdzovú aktualizáciu webového prehliadača. Zraniteľnosť zabezpečenia bola označená ako „Vysoká závažnosť zneužitia 0 dní“ a ovplyvňuje všetky rôzne varianty prehliadača Chrome vo všetkých rôznych operačných systémoch.
Spoločnosť Kaspersky detekuje chybu zabezpečenia „0 dní“ Exploit.Win32.Generic, ktorá ovplyvňuje všetky verzie prehliadača Google Chrome:
Google na Halloween potvrdil, že desktopový prehliadač Chrome „so stabilným kanálom“ sa aktualizuje na verziu 78.0.3904.87 pre platformy Windows, Mac a Linux. Na rozdiel od aktualizácií, ktoré sa začnú postupne zavádzať, najnovšia aktualizácia by mala mať skôr zrýchlené nasadenie. Preto je nevyhnutné, aby používatelia prehliadača Chrome zabezpečili inštaláciu najnovšej aktualizácie bezodkladne. V pomerne tajuplnej správe spoločnosť Google vydala odporúčanie, v ktorom uviedla:
„Prístup k podrobnostiam o chybách a odkazom môže byť obmedzený, kým nebude väčšina používateľov aktualizovaná opravou. Zachováme tiež obmedzenia, ak chyba existuje v knižnici tretej strany, od ktorej podobne závisia aj iné projekty, ale zatiaľ neboli opravené. “
0denné upozornenie! #Google varuje Windows, Mac, #Linux používateľom aktualizovať svoje #Chrome prehliadač (do 78.0.3904.87) okamžite kvôli bezpečnostnej chybe (CVE-2019-13720), ktorú útočníci vo voľnej prírode aktívne využívajú na únos počítačov. https://t.co/tw7Msba4kb #infosec pic.twitter.com/QJj7ojqEDU
- The Hacker News (@TheHackersNews) 1. novembra 2019
Aj keď spoločnosť Google v súvislosti s chybami zabezpečenia v prehliadači Chrome nesúvisí, spoločnosť Kaspersky neoficiálne pomenovala útok „Operation WizardOpium“. Technicky je to útok Exploit.Win32.Generic. Výrobca antivírusov, brán firewall a ďalších produktov na zabezpečenie siete stále skúma potenciál útoku a totožnosť zločincov, ktorí mohli útok spáchať. Tím tvrdí, že časť kódu nesie trochu podobná útokom Lazara , ale nič sa nezistí.
Podľa spoločnosti Kaspersky sa zdá, že útok ťaží čo najviac údajov načítaním škodlivého skriptu na profilovanie. Zraniteľnosť dňa 0 bola zjavne použitá na vloženie škodlivého kódu JavaScript. Útok je dosť zložitý vykonáva niekoľko kontrol, či je systém infikovaný alebo či je zraniteľný . Až po kontrole kvalifikácie pokračuje útok, aby sa získalo skutočné užitočné zaťaženie a bolo ho nasadené.
Spoločnosť Google berie na vedomie, že Chrome je využívaný v nulových dňoch a vydáva núdzové aktualizácie, aby sa zabránilo hrozbe:
Google poznamenal, že exploit v súčasnosti existuje vo voľnej prírode . Spoločnosť dodala, že sa jedná o chybu zabezpečenia CVE-2019-13720. Mimochodom, existuje ešte jedna bezpečnostná chyba, ktorá bola oficiálne označená ako CVE-2019-13721. Obidve bezpečnostné chyby sú chyby zabezpečenia „bez použitia“, ktoré využívajú poškodenie pamäte na eskaláciu oprávnení v napadnutom systéme. Podľa všetkého ide o CVE-2019-13720 bezpečnostná zraniteľnosť sa využíva vo voľnej prírode . Údajne to ovplyvňuje zvukový komponent webového prehliadača Chrome.
Erik @DonutsInc poukázal na zraniteľnosť prehliadača Chrome. Jednoduchým zatvorením a opätovným otvorením prehľadávača sa automaticky skontrolujú potrebné aktualizácie a nainštalujú sa. https://t.co/4NKJXfdGxw
- name.com (@namedotcom) 1. novembra 2019
Spoločnosť Google, ktorá uznáva obe bezpečnostné hrozby, vydala núdzovú aktualizáciu pre prehliadač Chrome, avšak zdá sa, že táto aktualizácia je v súčasnosti obmedzená na stabilný kanál. Aktualizácia údajne obsahuje iba opravu chýb. Spoločnosť Kaspersky sa aktívne podieľa na vyšetrovaní rizika ohrozenia, nie je však okamžite jasné, kto mohol zneužiť túto 0-dennú chybu zabezpečenia.
Značky Chrome google
