Η Google επιδιόρθωσε πρόσφατα ένα πολύ σοβαρό κενό ασφαλείας στο πρόγραμμα περιήγησης Chrome που επέτρεπε στους απατεώνες να στείλουν κακόβουλο κώδικα στο πρόγραμμα περιήγησής σας και να πάρουν τον έλεγχο ολόκληρου το συστήματός σας.
Το θέμα, με το αναγνωριστικό CVE-2016-1681, επηρεάζει το ενσωματωμένο πρόγραμμα ανάγνωσης αρχείων PDF του browser με το όνομα PDFium.
Η Google patch-αρε το θέμα με το release του Chrome 51.0.2704.63, που κυκλοφόρησε στις 25 Μαΐου. Εν τω μεταξύ, ο Chrοme κυκλοφόρησε ένα άλλο κύμα ενημερώσεων ασφαλείας κατά την έναρξη του Ιουνίου.
Ο Aleksandar Nikolic της Cisco ήταν ο ερευνητής που ανακάλυψε και ανέφερε το θέμα στη Google, η οποία τον αντάμειψε με $3.000 για τις προσπάθειές του.
Σύμφωνα με τον απολογισμό του ερευνητή, το ζήτημα ανακαλύφθηκε έξι ημέρες νωρίτερα, στις 19 Μαΐου και η ομάδα της Google το διόρθωσε αμέσως.
Ο Nikolic αναφέρει ότι η CVE-2016-1681 επέτρεπε στους επιτιθέμενους να ενσωματώσουν μια JPEG2000 εικόνα μέσα σε ένα αρχείο PDF, το οποίο όταν άνοιγε μέσα σε ένα ευάλωτο πρόγραμμα περιήγησης Chrοme, θα προκαλούσε υπερχείλιση του buffer που θα ενεργοποιούσε την απειλή για να εκτελέσει αυθαίρετο κώδικα στον υπολογιστή του θύματος.
Η πραγματική ευπάθεια δεν ήταν ο Chrome ή το PDFium, αλλά η OpenJPEG βιβλιοθήκη που αναλύει τα JPEG2000 αρχεία πριν εμφανιστούν μέσα στο browser.
Τα αρχεία PDF είναι τόσο διαδεδομένα στις μέρες μας που λίγοι θα σκέφτονταν δύο φορές πριν ανοίξουν ένα, είτε τοπικά είτε στο διαδίκτυο. Όλα τα σημερινά μεγάλα προγράμματα περιήγησης έχουν ήδη ένα built-in πρόγραμμα ανάγνωσης PDF, το οποίο βοηθά, επίσης, στο να πιστεύουν οι χρήστες ότι το άνοιγμα ενός PDF μπορεί να είναι ασφαλές.
“Ο πιο αποτελεσματικός φορέας επίθεσης είναι ο παράγοντας απειλή να τοποθετήσει ένα κακόβουλο αρχείο PDF σε μια ιστοσελίδα και στη συνέχεια να ανακατευθύνει τα θύματα της ιστοσελίδας χρησιμοποιώντας είτε phishing emails ή ακόμη και κακόβουλες διαφημίσεις”, έγραψε ο Earl Carter της Cisco.
Για να παραμείνετε ασφαλείς, θα πρέπει να ενημερώσετε στο Google Chrοme 51.0.2704.63 ή νεότερο. Μπορείτε να το κάνετε αυτό με τη βοήθεια του ενσωματωμένου Chrome updater ή μπορείτε να εγκαταστήσετε ένα νέο αντίγραφο του Chrοme πάνω από την υπάρχουσα εγκατάστασή σας.
