Google, bir istismarın vahşi ortamda aktif olarak kullanıldığı sıfır gün için bir Chrome güncellemesi yayınladı.
Google, iki güvenlik düzeltmesi içeren bir güncelleme yayınladı. Bu güvenlik düzeltmelerinden biri, Google’ın bu güvenlik açığından yararlanmanın vahşi ortamda var olduğunun farkında olduğunu söylediği sıfır gün içindir.
Kendinizi nasıl korursunuz?
Windows, Mac veya Linux’ta bir Chrome kullanıcısıysanız, mümkün olan en kısa sürede güncelleme yapmalısınız. Android kullanıcıları da bekleyen bir güncelleme bulacaklar.
Chrome’u güncellemenin en kolay yolu, otomatik olarak güncellenmesine izin vermektir; bu, temel olarak aşağıda açıklanan yöntemin aynısını kullanır, ancak sizin ilgilenmenizi gerektirmez. Ancak tarayıcıyı hiç kapatmazsanız veya tarayıcıyı güncellemenizi engelleyen bir uzantı gibi bir şeyler ters giderse geride kalabilirsiniz.
Bu nedenle, ara sıra kontrol etmekten zarar gelmez. Ve bu gruptaki güvenlik açıklarının ciddiyeti göz önüne alındığında, şimdi iyi bir zaman olurdu. Tercih ettiğim yöntem Chrome’un sayfayı açmasını sağlamak chrome://ayarlar/yardım tıklayarak da bulabilirsiniz Ayarlar > Chrome Hakkında.
Mevcut bir güncelleme varsa, Chrome sizi bilgilendirecek ve indirmeye başlayacaktır. Ardından, güncellemenin tamamlanması için tek yapmanız gereken tarayıcıyı yeniden başlatmaktır.
Chrome güncel
Güncellemeden sonra sürüm şu olmalıdır: 114.0.5735.106 Mac ve Linux için ve 114.0.5735.110 Windows veya sonrası için.
sıfır gün
Google, bariz sebeplerden dolayı asla güvenlik açıkları hakkında çok fazla bilgi vermez. Hata ayrıntılarına ve bağlantılara erişim, kullanıcıların çoğunluğu bir düzeltme ile güncellenene kadar kısıtlı tutulabilir. Ancak, güncelleme sayfasından birkaç şey öğrenebiliriz.
Güvenlik açığı, Google’ın Tehdit Analizi Grubu’ndan Clément Lecigne tarafından bildirildi. Bu, Google’ın bu güvenlik açığını aktif bir saldırıyı araştırırken bulduğunu gösterebilir; bu, güvenlik açığından yararlanmanın vahşi doğada var olduğu gerçeğiyle eşleşir.
Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) veritabanı, kamuya açıklanmış bilgisayar güvenlik kusurlarını listeler. Sıfır gün için CVE:
CVE-2023-3079: V8’deki bir tür karışıklığı, uzaktaki bir saldırganın hazırlanmış bir HTML sayfası aracılığıyla potansiyel olarak yığın bozulmasından yararlanmasına izin verdi.
Tip karışıklığı güvenlik açıkları, bir kod parçası kullanılmadan önce kendisine iletilen nesnenin türünü doğrulamadığında ortaya çıkan programlama kusurlarıdır. Tür karışıklığı, bir saldırganın işlev işaretçilerini veya verileri yanlış kod parçasına beslemesine izin verebilir. Bazı durumlarda, bu kod yürütülmesine yol açabilir.
Diğer durumlarda, tür karışıklığı güvenlik açığı, keyfi bir yığın yazmaya veya yığın spreyine yol açar. Yığın püskürtme, saldırganın okunmasını beklediği bir bellek konumuna büyük miktarda kod yerleştiren açıklardan yararlanmada tipik olarak kullanılan bir yöntemdir. Genellikle, bu kod bitleri, istismarın saldırı altındaki sistemi tehlikeye atmak için çalıştırmak istediği gerçek kodun başlangıcına işaret eder.
Her modern web tarayıcısının kalbinde, etkileşimli web uygulamalarının ağır yükünün çoğunu yapan bir bileşen olan bir JavaScript yorumlayıcısı bulunur. Chrome’da bu tercüman V8’dir.
Saldırgan, özel hazırlanmış bir Köprü Metni Biçimlendirme Dili (HTML) parçası kullanarak bu güvenlik açığından yararlanabilir. Göründüğünden daha kolay olabilecek kullanıcı etkileşimine ihtiyaç duyar. HTML, bir web tarayıcısında görüntülenmek üzere tasarlanmış belgeler için standart biçimlendirme dilidir ve bu belgeler (web sayfaları) JavaScript içerebilir. Potansiyel olarak bu, böyle özel hazırlanmış bir JavaScript içeren yanlış web sitesini açarak tarayıcının güvenliğinin ihlal edilebileceği anlamına gelir.
Edge gibi diğer Chromium tabanlı tarayıcıların kullanıcıları da güncellemeler için tetikte olmalıdır, çünkü bu güncelleme tüm Chromium tabanlı tarayıcıları etkileyebilir.
Güvenlik açıklarını yalnızca rapor etmiyoruz; bunları belirliyor ve eyleme öncelik veriyoruz.
Siber güvenlik riskleri asla bir manşetin ötesine geçmemelidir. Malwarebytes Güvenlik Açığı ve Yama Yönetimi’ni kullanarak güvenlik açıklarını yedekte tutun.