Η Google κυκλοφόρησε έκτακτες ενημερώσεις ασφαλείας για να διορθώσει μια zero-day ευπάθεια στον Chrome browser. Είναι το τέταρτο zero-day bug που έχει χρησιμοποιηθεί σε επιθέσεις από την αρχή αυτού του έτους.
Η Google αποκάλυψε ότι υπάρχει ήδη ένα γνωστό exploit για αυτή την ευπάθεια (CVE-2023-4863), κάτι που την κάνει ακόμα πιο επικίνδυνη.
Προς το παρόν, η νέα έκδοση είναι διαθέσιμη στους χρήστες μέσω των Stable και Extended stable channels, και αναμένεται να φτάσει σε ολόκληρη τη βάση χρηστών τις επόμενες ημέρες ή εβδομάδες.
Συνιστάται στους χρήστες να αναβαθμίσουν τον Chrome browser στην τελευταία έκδοση, 116.0.5845.187 (Mac και Linux) και 116.0.5845.187/.188 (Windows), όσο το δυνατόν συντομότερα. Αυτή η αναβάθμιση θα διορθώσει την ευπάθεια CVE-2023-4863.
Δείτε επίσης: Η Cisco προειδοποιεί για την εκμετάλλευση VPN zero-day από ομάδες ransomware
Μπορείτε να κάνετε έναν έλεγχο για νέες ενημερώσεις μέσω του Chrome menu > Help > About Google Chrome.
Το πρόγραμμα περιήγησης θα ελέγξει γενικά για νέες ενημερώσεις και θα τις εγκαταστήσει αυτόματα, μετά από επανεκκίνηση.
Chrome zero-day
Η επικίνδυνη ευπάθεια zero-day (CVE-2023-4863) προκαλείται από ένα “WebP heap buffer overflow weakness” και θα μπορούσε να χρησιμοποιηθεί για διάφορα πράγματα, από πρόκληση crashes μέχρι εκτέλεση κώδικα.
Το σφάλμα αναφέρθηκε από την Apple Security Engineering and Architecture (SEAR) και το The Citizen Lab στο Munk School του Πανεπιστημίου του Τορόντο, στις 6 Σεπτεμβρίου.
Οι ερευνητές του Citizen Lab, που ασχολούνται με την ασφάλεια, ανακαλύπτουν συχνά zero-day ευπάθειες που χρησιμοποιούνται σε υψηλού επιπέδου κατασκοπευτικές εκστρατείες από φορείς απειλών που υποστηρίζονται από κυβερνήσεις. Οι επιθέσεις αυτές στοχεύουν άτομα υψηλού κινδύνου, όπως πολιτικούς της αντιπολίτευσης, δημοσιογράφους και αντιφρονούντες σε όλο τον κόσμο.
Δείτε επίσης: Hackers της Βόρειας Κορέας στοχεύουν ερευνητές ασφαλείας χρησιμοποιώντας zero-day bug
Πρόσφατα, οι ερευνητές ενημέρωσαν την Apple
για δύο zero-day ευπάθειες που χρησιμοποιούνταν σε επιθέσεις ως μέρος ενός exploit chain, γνωστού ως BLASTPASS. Στόχος ήταν η μόλυνση iPhone με το Pegasus spyware της NSO Group.Παρά το γεγονός ότι η Google ανακοίνωσε ότι το zero-day CVE-2023-4863 έχει χρησιμοποιηθεί, η εταιρεία δεν έχει ακόμη αποκαλύψει περισσότερες λεπτομέρειες.
“Η πρόσβαση σε λεπτομέρειες σφαλμάτων και συνδέσμους μπορεί να παραμείνει περιορισμένη έως ότου η πλειοψηφία των χρηστών χρησιμοποιήσει την επιδιόρθωση“, δήλωσε η Google. “Θα διατηρήσουμε επίσης περιορισμούς εάν το σφάλμα υπάρχει σε μια βιβλιοθήκη τρίτου μέρους από την οποία εξαρτώνται άλλα projects, αλλά δεν έχουν ακόμη επιδιορθωθεί“.
Αυτό σημαίνει ότι οι χρήστες του Chrome μπορούν να ενημερώσουν τον browser τους για να προλάβουν επιθέσεις πριν από τη διάθεση νέων τεχνικών στοιχείων, τα οποία θα μπορούσαν να επιτρέψουν σε περισσότερους παράγοντες απειλών να εκμεταλλευτούν την ευπάθεια.
Δείτε επίσης: Atlas VPN zero-day: Διαρρέει την διεύθυνση IP των χρηστών
Ας ελπίσουμε ότι η ενημέρωση αυτή θα αποτελέσει ένα αποτελεσματικό εμπόδιο για τους επιτιθέμενους που εκμεταλλεύονται την ευπάθεια zero-day του Chrome. Για τους χρήστες, είναι ουσιαστικής σημασίας να διατηρούν ενημερωμένο τον browser τους, καθώς οι επιτιθέμενοι συνεχώς αναζητούν νέους τρόπους για να εκμεταλλευτούν κενά ασφαλείας. Είναι επίσης σημαντικό να γνωρίζουμε ότι οι ενημερώσεις ασφαλείας είναι μόνο ένα μέρος της συνολικής στρατηγικής ασφάλειας και πρέπει να συνοδεύονται από άλλες πρακτικές, όπως η χρήση ισχυρών κωδικών πρόσβασης και η διεξαγωγή τακτικών σαρώσεων ασφάλειας.
Πηγή: www.bleepingcomputer.com