Yönetişim ve Risk Yönetimi, Yama Yönetimi
WebRTC’ye Yönelik İstismar Ortalıkta Mevcut
Sayın Mihir (MihirBagwe) •
21 Aralık 2023
Google, vahşi ortamda istismar edilen kritik bir güvenlik açığını düzeltmek için Chrome web tarayıcısı için Çarşamba günü güvenlik güncellemelerini yayınladı.
Ayrıca bakınız: CISO’ların Krizi Atlatmalarına Yönelik 10 Kemer Sıkma İpucu
Chrome’un güvenlik danışmanı, “Google, CVE-2023-7024’e yönelik bir istismarın yaygın olarak mevcut olduğunun farkındadır” dedi.
Sıfır gün güvenlik açığı, açık kaynaklı WebRTC çerçevesindeki yığın tabanlı bir arabellek taşması hatasıdır.
WebRTC, farklı tarayıcılar ve cihazlar arasında gerçek zamanlı iletişime ve veri alışverişine olanak tanıyan kritik bir bileşendir. Ses ve video trafiğine odaklanarak geliştiricilerin sesli ve görüntülü iletişim çözümleri oluşturmasına olanak tanır. WebRTC, yazılım geliştiricilere JavaScript ile yazılmış uygulama programlama arayüzleri sağlar.
Google’ın Tehdit Analizi Grubu’ndan Clément Lecigne ve Vlad Stolyarov kusuru keşfetti ve bildirdi.
Bu, yılın sekizinci Chrome sıfır gününü işaret ediyor. Eylül ayında Lecigne, düzeltilen ancak o sırada “ticari bir gözetleme sağlayıcısı tarafından kullanımda olan” başka bir yığın tabanlı arabellek taşması sıfır gün raporunu bildirdi (bkz: Ticari Casus Yazılım Satıcısı Tarafından 0 Günlük İstismar Edilen Chrome Yamaları).
Google, “hata ayrıntılarına ve bağlantılara erişim, kullanıcıların çoğunluğu bir düzeltmeyle güncellenene kadar kısıtlı tutulabileceğinden” en son sıfır günün ayrıntılarının az olduğunu söyledi. Google, teknik bilgilerin tamamını açıklamayarak tehdit aktörlerinin daha yeni saldırılar geliştirme olasılığını azaltmaya çalışıyor. Siber güvenlik firması Qualys’in verileri, 2023’te keşfedilen yüksek riskli güvenlik açıklarının %25’inin derhal istismar için hedef alındığını ve “istismarın, güvenlik açığının kendisinin kamuya açıklandığı gün yayınlandığını” belirtti.