Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) πρόσθεσε μια ακόμη ευπάθεια ασφαλείας στη λίστα με τα σφάλματα που είναι γνωστό ότι χρησιμοποιούνται σε επιθέσεις. Πρόκειται για την ευπάθεια CVE-2022-4262, ένα zero-day σφάλμα που εντοπίστηκε στο Google Chrome και χρησιμοποιήθηκε για επιθέσεις, σύμφωνα με την CISA. Την Παρασκευή, η Google διόρθωσε την ευπάθεια για χρήστες Windows, Mac και Linux.
Τα zero-day σφάλματα αποτελούν σοβαρές απειλές για την ασφάλεια κάθε οργανισμού. Η επιτυχημένη εκμετάλλευσή τους μπορεί να επιτρέψει την κλοπή ευαίσθητων δεδομένων, την εγκατάσταση malware ή ακόμα και την ανάληψη ελέγχου ενός συστήματος.
Δείτε επίσης: Zero-day ευπάθειες και η άμεση ανάγκη αντιμετώπισης τους
Η Google δημοσίευσε ένα security advisory ακριβώς πριν από το Σαββατοκύριακο, δηλώνοντας ότι είναι “ενήμερη για αναφορές που λένε ότι υπάρχει ένα exploit για την ευπάθεια CVE-2022-4262“.
Από τις αρχές του τρέχοντος έτους, η Google έχει διορθώσει εννέα zero-day ευπάθειες στον Chrome browser, που έχουν γίνει αντικείμενο εκμετάλλευσης από hackers.
Το σφάλμα προκαλείται από ένα type confusion weakness υψηλής σοβαρότητας στο Chromium V8 JavaScript engine και αναφέρθηκε από τον ερευνητή Clement Lecigne της Ομάδας Ανάλυσης απειλών της Google.
Αν και τα type confusion σφάλματα οδηγούν συχνά σε crashes του προγράμματος περιήγησης μετά από επιτυχή εκμετάλλευση, οι εισβολείς μπορούν επίσης να τo εκμεταλλευτούν για εκτέλεση κακόβουλου κώδικα.
Η εταιρεία δήλωσε ότι έχει ανακαλύψει επιθέσεις που χρησιμοποιούν αυτή την Chrome zero-day ευπάθεια, αλλά δεν έχει δημοσιεύσει πρόσθετες πληροφορίες σχετικά με αυτά τα περιστατικά ούτε έχει μιλήσει για τις τεχνικές λεπτομέρειες που τα περιβάλλουν. Με τον τρόπο αυτό, ελπίζει να δώσει στους χρήστες αρκετό χρόνο για να αναβαθμίσουν τα προγράμματα περιήγησής τους πριν περισσότεροι επιτιθέμενοι αναπτύξουν τα δικά τους exploits για το CVE-2022-4262.
Δείτε επίσης: Σοβαρές ευπάθειες AMI MegaRAC επηρεάζουν τους servers πολλών εταιρειών
Οι ομοσπονδιακές υπηρεσίες πρέπει να εφαρμόσουν άμεσα το patch
Σύμφωνα με μια οδηγία binding operational directive (BOD 22-01), όλες οι υπηρεσίες στον τομέα των Federal Civilian Executive Branch Agencies (FCEB) πρέπει να επιδιορθώσουν άμεσα τα συστήματά τους έναντι αυτού του σφάλματος.
Τους δόθηκε προθεσμία τριών εβδομάδων, έως τις 26 Δεκεμβρίου, για να επιδιορθώσουν όλες τις ευάλωτες εγκαταστάσεις Chrome στα συστήματά τους. Στόχος είναι να αποκλειστούν οι συνεχιζόμενες απόπειρες εκμετάλλευσης.
Παρόλο που η οδηγία BOD 22-01 ισχύει μόνο για τους αμερικανικούς οργανισμούς FCEB, η υπηρεσία κυβερνοασφάλειας DHS προέτρεψε επίσης όλους τους οργανισμούς των ΗΠΑ τόσο από τον ιδιωτικό όσο και από τον δημόσιο τομέα να δώσουν προτεραιότητα στην επιδιόρθωση αυτού του σφάλματος το συντομότερο δυνατό.
Δείτε επίσης: Γαλλία: Νοσοκομείο ακύρωσε επεμβάσεις λόγω κυβερνοεπίθεσης
Η άμεση εφαρμογή των ενημερώσεων που έχει κυκλοφορήσει η Google για την αντιμετώπιση της Chrome zero-day ευπάθειας, μπορεί να βοηθήσει στη μείωση των επιθέσεων.
Η CISA λέει ότι αυτοί οι τύποι ευπαθειών χρησιμοποιούνται συχνά από εγκληματίες του κυβερνοχώρου και θέτουν σε κίνδυνο τους ομοσπονδιακούς οργανισμούς.
Πηγή: www.bleepingcomputer.com