ΑρχικήsecurityGoogle Chrome V8 JavaScript engine ευπάθεια: Κάντε άμεσα update

Google Chrome V8 JavaScript engine ευπάθεια: Κάντε άμεσα update

Ο Google Chrome συνεχίζει να κυριαρχεί στην αγορά του προγράμματος περιήγησης ιστού με περισσότερους από δύο δισεκατομμύρια χρήστες παγκοσμίως. Το θέμα όμως είναι ότι βρίσκεται και στο επίκεντρο των χάκερ, αναγκάζοντας την Google να εκδώσει την τρίτη επείγουσα προειδοποίηση αναβάθμισης μέσα σε ένα μήνα. Το νέο zero-day exploit λέγεται ότι είναι V8 JavaScript engine. Τι ακριβώς σημαίνει αυτό; Θα το δείτε παρακάτω!

V8 JavaScript engine
Google Chrome V8 JavaScript engine ευπάθεια: Κάντε άμεσα update!

Σε μια επίσημη ανάρτηση ιστολογίου, η Google αποκάλυψε ότι ένα νέο exploit «zero-day» (CVE-2021-30563) έχει ανακαλυφθεί στον Chrome και – όπως και η προηγούμενη επίθεση – ακολουθεί μια ανώνυμη ενημέρωση. Σε αντίθεση με την πλειονότητα των αδυναμιών ασφαλείας, ένα zero-day classification σημαίνει ότι το exploit έχει δημοσιοποιηθεί πριν η εταιρεία να μπορεί να το κάνει patch. Γράφοντας στο blog της, η Google επιβεβαίωσε ότι «γνωρίζει ότι κυκλοφορεί ένα exploit για το CVE-2021-30563».

Δείτε επίσης: Google Chrome: Διόρθωση όγδοου zero-day bug μέσα σε έξι μήνες

Λίγα είναι γνωστά για το exploit εκτός από την κατηγοριοποίηση της Google ότι πρόκειται για “Type Confusion σε V8” – που είναι η μηχανή ανοιχτού κώδικα JavaScript στην καρδιά του Chrome. Αυτό το απόρρητο είναι τυπικό για zero-day bugs, καθώς η Google προσπαθεί να ελαχιστοποιήσει την εξάπλωση της εισβολής πριν οι χρήστες του Chrome έχουν την ευκαιρία να αναβαθμίσουν και να προστατευτούν.

Για την αντιμετώπιση αυτής της νέας απειλής, όλοι οι χρήστες του Chrome πρέπει να μεταβούν στο Settings > Help > About Google Chrome. Εάν η έκδοση του προγράμματος περιήγησής σας σε Linux, macOS και Windows αναφέρεται ως 91.0.4472.164 ή παραπάνω, είστε ήδη ασφαλείς. Εάν όχι, ελέγξτε χειροκίνητα για ενημερώσεις και επανεκκινήστε το πρόγραμμα περιήγησης μόλις ολοκληρωθεί η ενημέρωση. Η Google επιβεβαίωσε επίσης ότι άλλες έξι απειλές “υψηλού” επιπέδου έχουν διορθωθεί σε αυτήν την έκδοση του Chrome, καθώς και μια μεμονωμένη ευπάθεια «μεσαίου» επιπέδου.

Το CVE-2021-30563 είναι η όγδοη ευπάθεια zero-day που βρέθηκε στον Chrome φέτος και η τρίτη σε ένα μήνα. Το ότι η Google συνήθως κυκλοφορεί τις ενημερώσεις ασφαλείας για επιθέσεις zero-day μέσα σε λίγες ημέρες είναι άκρως θετικό, αλλά στο τέλος η αποτελεσματικότητά τους  καθορίζεται από την ταχύτητα με την οποία οι χρήστες του Chrome ενημερώνουν τα προγράμματα περιήγησής τους.

Δείτε επίσης: Google Chrome: Αποκτά λειτουργία HTTPS-Only για ασφαλή περιήγηση

Οι επιθέσεις στον Chrome υπήρξαν ιδιαίτερα διαδεδομένες τους τελευταίους μήνες, κυρίως από μια ομάδα που ονομάζεται PuzzleMaker. Η ομάδα πέτυχε στο chaining των Chrome zero-day bugs για να εγκαταστήσει malware σε συστήματα Windows. Η ίδια η Microsoft εξέδωσε επείγουσα προειδοποίηση ασφαλείας για τους χρήστες των Windows σχετικά με αυτό τον Ιούνιο.

Οι χρήστες του Chrome θα ήταν συνετό να προσέχουν τις ενημερώσεις και να διασφαλίζουν ότι τόσο το πρόγραμμα περιήγησής σας όσο και το λειτουργικό σας σύστημα είναι ενημερωμένα.

V8 JavaScript engine Google Chrome V8
Google Chrome V8 JavaScript engine ευπάθεια: Κάντε άμεσα update!

Όμως πόσο επικίνδυνο είναι ένα zero-day;

Την πρώτη ημέρα, οποιοδήποτε σφάλμα ή ευπάθεια σε ένα διαδικτυακό ή offline λογισμικό δεν έχει ακόμη επιδιορθωθεί από την εταιρεία ή τον προγραμματιστή του. Έτσι, τα zero-day exploits εγγυώνται μεγάλη πιθανότητα επιτυχούς επίθεσης για επιτιθέμενους. Αυτός είναι ο λόγος για τον οποίο τα zero-day exploits είναι πολύ επικίνδυνα για το άτομο ή τον οργανισμό-στόχο.

Πιστεύεται ότι οι προηγμένες ομάδες κυβερνοεγκλήματος ή hacking – ειδικά ορισμένες οργανωμένες ομάδες κυβερνοεγκλήματος – διατηρούν το σύνολο των ευπαθειών zero-day για επίθεση στόχων υψηλής αξίας. Η λίστα τους περιλαμβάνει συνήθως ιστότοπους ξένων κυβερνήσεων, οικονομικά ή δημοφιλή ιδρύματα ή άλλους σημαντικούς στόχους.

Για παράδειγμα, ο Mozilla Firefox είχε δύο άγνωστα σφάλματα zero-day τον Ιούνιο του 2019 – “Type confusion in Array.pop” και “Sandbox escape using Prompt: Open”. Δυστυχώς, μια ομάδα hacking ανακάλυψε αυτές τις ευπάθειες zero-day και τις χρησιμοποίησε για να κάνει επιθέσεις σε διάφορα cryptocurrency exchanges.

Δείτε επίσης: Τρόπος χρήσης του Do Not Disturb στο Chromebook

Το πρόβλημα με τις ευπάθειες zero-day δεν επιλύεται έως ότου οι χρήστες να εγκαταστήσουν το απαιτούμενο update ή patch στα συστήματά τους. Φυσικά, αυτή η διαδικασία διαρκεί αρκετά και, στη συνέχεια, υπάρχουν χρήστες που δεν μπορούν να επιδιορθώσουν μια ευπάθεια zero-day.

Ποιο είναι το τελικό αποτέλεσμα; Οι επιτιθέμενοι προσπαθούν να βρουν unpatched συστήματα και να στοχεύσουν την ευπάθεια n-day για να αποκτήσουν πρόσβαση στα ευάλωτα συστήματα – ειδικά τους πιο κρίσιμους στόχους όπως οι μεγάλες εταιρείες.

Πηγή πληροφοριών: forbes.com

Teo Ehc
Teo Ehchttps://www.secnews.gr
Be the limited edition.

Εγγραφή στο Newsletter

* indicates required

FOLLOW US

LIVE NEWS