Google a lansat un patch de urgență, la două zile după ce cercetătorul de securitate Clément Lecigne l-a descoperit – cel mai recent dintr-un șir de atacuri zero-day exploatate activ care vizează Chrome anul acesta.
Acest patch era necesar pentru că o companie misterioasă de supraveghere exploatează un nou defect al browserului Chrome pentru a ataca utilizatorii, potrivit unui cercetător de securitate Google.
Cercetătorul de securitate Google Clément Lecigne a descoperit luni amenințarea, ceea ce a determinat compania să emită un patch de urgență, deoarece un exploit pentru vulnerabilitate a existat „în sălbăticie”. Cercetătorul de securitate Google, Maddie Stone, a scris pe Twitter că bug-ul a fost „utilizat de un furnizor comercial de supraveghere”, dar nu a dat numele companiei.
Google a evaluat amenințarea ca fiind o eroare de severitate „înaltă”. Vulnerabilitatea, denumită CVE-2023-5217, implică modul în care browserul Chrome procesează formatul de compresie video VP8. Poate declanșa o „depășire a memoriei tampon” într-o bibliotecă VP8, ceea ce înseamnă că datele pot fi suprascrise în locațiile de memorie adiacente ale browserului. Astfel de erori pot fi exploatate pentru a executa cod de computer malițios, cum ar fi declanșarea unui browser pentru a deschide o pagină web controlată de hackeri sau pentru a descărca programe malware.
Remedierea vine pe măsură ce comunitatea de securitate a observat o creștere a exploatărilor zero-day de către companiile comerciale de spyware. La începutul acestei luni, Google a remediat o defecțiune separată în Chrome, care părea a fi legată de renumitul grup de supraveghere NSO, o companie care vinde programe spyware guvernelor străine.
Pentru CVE-2023-5217, Google a lansat patch-ul prin versiunea Chrome 117.0.5938.132 pentru Windows, macOS și Linux. Pentru a primi remedierea, browserul ar trebui să vă oblige să faceți acest lucru afișând un buton „actualizare” în colțul din dreapta sus al browserului. Dar îl puteți descărca și manual, accesând fila „Despre Chrome” pentru a primi automat actualizarea sau vizitând pagina de asistență Google despre cum să descărcați corecțiile.
Microsoft Edge, care folosește motorul Google Chromium, ar putea fi, de asemenea, susceptibil la defecțiune. Dar pagina de securitate a companiei nu a menționat încă acest lucru.