Уязвимост CVE-2021-21227, засягаща V8 (JavaScript енджина на Google Chrome) може да позволи дистанционно изпълнение на код (RCE) в браузъра ви.
Сам по себе си, проблемът не засяга други програми, данни и приложения на компютъра ви, освен ако не се обвърже с други уязвимости – тогава може да нанесе поражения и извън браузъра.
В новата версия Chrome 90 са закърпени девет уязвимости, включително друг проблем с V8. Очакват се актуализации.
Google Chrome използва FLoC (Federated Learning of Cohorts) за анализиране на потребителската активност във всеки уебсайт. Наскоро стана известно, че компанията тества експерименталната функция сред 0,5% от потребителите на Chrome в избрани региони, без тяхно съгласие.
Конкурентната търсачката DuckDuckGo обаче е намерила начин да блокира това проследяване – чрез специално създадено разширение за Google Chrome. То автоматично блокира активността на FLoC на всеки уебсайт, за да защити поверителността на потребителите.
Имате възможност напълно да избегнете наблюдението на FLoC, като използвате търсачката или разширението на DuckDuckGo.
Хакери могат да злоупотребяват с функцията за синхронизиране на Google Chrome, за да изпращат команди до заразени браузъри и да крадат данни от заразени системи, заобикаляйки традиционните защитни стени и други мрежови защити.
Синхронизирането на Chrome е функция на уеб браузъра, която съхранява копия на потребителски отметки, история на сърфиране, пароли и настройки на браузъра. Използва се за синхронизиране на данните между различните ви устройства, така че те винаги да имат достъп до актуалните данни, където и да отидете.
Хърватският изследовател Боян Здраня е открил, по време на разследване на инцидент, че злонамерено разширение на Chrome злоупотребява с функцията за синхронизиране: При комуникация със сървър за отдалечено управление (C&C) се използва за извличане на данни от заразени браузъри.
В случая, разследван от Здраня, нападателите са получили достъп до компютъра на жертвата и тъй като данните, които са искали да откраднат, са били в облачен акаунт, те са изтеглили разширение за Chrome на компютъра и са го заредили чрез режима за разработчици на браузъра.
Именно разширението, което се представя като добавка за сигурност от разработчика на Forcepoint, съдържа злонамерен код, който злоупотребява с функцията за синхронизиране на Chrome и позволява на нападателите да контролират заразения браузър.
Злонамерената добавка помага на нападателите да създадат текстово-базирано поле за съхраняване на ключове с маркери, което впоследствие да бъде синхронизирано с облачните сървъри на Google. След това е достатъчно да се влезе със същия акаунт от Google в друг браузър Chrome и с инфраструктурата на Google с злоупотребено.
В ключовото поле може да са съхраняват данни, събрани от зловредното разширение за заразения браузър (потребителски имена, пароли, криптографски ключове и др.) или команди, които нападателят иска разширението да изпълни на заразената работна станция.
По този начин разширението може да се използва като канал за ексфилтрация от вътрешни корпоративни мрежи до копие на браузъра Chrome на атакуващия или като начин за контрол на заразения браузър отдалечено, заобикаляйки корпоративните защитни стени.
Тъй като откраднатото съдържание или последващите команди се изпращат чрез инфраструктурата на Chrome, нито една от тези операции няма да бъде проверена или блокирана в повечето корпоративни мрежи, където на браузъра Chrome обикновено е разрешено да работи и да предава данни безпрепятствено.
Ако планирате да блокирате достъпа до client4.google.com имайте предвид, че това е много важен уебсайт за Chrome, който се използва и за проверка дали Chrome е свързан с интернет (наред с други функции).
Вместо това, можете да използвате корпоративните функции на Chrome и поддръжката на груповите политики, за да блокирате и контролирате какви разширения могат да бъдат инсталирани в браузъра.
Ъпгрейднете вашия Google Chrome или всеки друг Chromium-базиран браузър веднага. Съветът идва от директора по сигурността на Google Джъстин Шух, след като от компанията потвърдиха съществуването на една от най-сериозните експлоатирани уязвимости в браузъра, носеща името CVE-2019-5786.
Накратко, уязвимостта позволява придобиването на администраторски права върху атакуваната машина след като атакуващите са модифицирали данни в паметта на устройството. Иначе казано – използването на уязвимостта може да доведе до превземането на компютъра и злоупотребата с него, източване на информация и т.н.
Уязвимостта засяга FileReader, приложно-програмен интерфейс (API), включен в браузъра, който позволява на уеб приложения да четата съдържанието на файлове, съхранявани на харддиска на потребителя. Тя е разкрита в края на февруари.
Освен Google Chrome, засегнати са и всички други браузъри, базирани на Chromium, сред които са:
Най-просто казано: ъпгрейднете своя Chrome до версия 72.0.3626.121 още сега, докато четете този материал.
Ако не сте включили автоматичните ъпдейти, следвате стъпките по-долу или тук:
Microsoft обнови своята bug bounty програма (система, която предлага заплащане на потребители, които открият уязвимости в продуктите и услугите на компанията). Наградата, която софтуерният гигант е склонен да плати за открита пробойна в системите си за работа с лични данни, е до 100 000 USD – затова, запретвайте ръкави и започвайте да търсите.
От Microsoft коментират, че са инвестирали значителни средства в създаването, имплементирането и подобряването на системите на компанията, които работят с автентикацията и личните данни на потребителите на услугите ѝ. Целта – да се въведат мерки като сигурни средства за автентикация и логин, сигурност на API-тата на компанията и свеждане до минимум на рисковете от инфраструктурна гледна точка.
Новата Microsoft Identity Bounty Program засяга Microsoft Account и Azure Active Directory, както и някои имплементации на OpenID (пълен списък – тук). Наградите, които обещава компанията, са между 500 и 100,00 USD – в зависимост от сериозността на откритата уязвимост.
За да кандидатствате, трябва да отговаряте на следните критерии:
Уязвимостта трябва да засяга и някой от следните инструменти за автентикация:
Или по-точно – кой не дава. Най-високо за момента официално плащат от Microsoft (максималната награда по другите bug bounty програми на компанията стига до 200 000 USD). А Facebook дори не са сложили ограничение за максималната награда…
Ето част от другите по-известни технологични гиганти и наградите от тях:
Какво чакате още, търсете!
Последен ъпдейт на 28 юни 2018 в 13:33 ч.
Chrome Cleanup е най-новото решение на Google в борбата с потенциално опасни сайтове, приложения и други нежелани и потенциално опасни елементи на интернет.
Разширението е създадено от ESET и е достъпно в най-новата версия на браузъра или да може да бъде свалено и инсталирано.
Част от функционалностите на Chrome Cleanup са предупреждаване за потенциални заплахи и опити за инсталиране на нежелан софтуер и премахването на вече инсталирани нежелани приложения. Пълна информация може да намерите в поста в блога на Google тук.
Chrome Cleanup работи във фонов режим, без да прекъсва или забавя работата на потребителя.