Za objavenie chýb Google vyplatil 28,5-tisíca eur.

• Google vydal novú verziu desktopového Chrome.
• Odporúčame si prehliadač aktualizovať čo najskôr, keďže nová verzia obsahuje dôležité bezpečnostné opravy.
• Niektoré z opravených chýb objavili ako prví hackeri a teraz ich zneužívajú pri svojich útokoch.

Spoločnosť Google vydala pre svoj prehliadač Chrome dôležitú bezpečnostnú aktualizáciu. Týka sa desktopových verzií pre počítače, pričom opravuje dovedna 11 zraniteľností. V prípade jednej vážnej bezpečnostnej chyby má dokonca Google dôkazy o tom, že ju hackeri zneužívajú v praxi. Na tému upozornila kyberbezpečnostná firma Malwarebytes na svojom blogu.

Keďže jedna zo zraniteľností sa už stihla dostať k hackerom a tí ju zakomponovali do svojich aktivít, všetkým používateľom je dôrazne odporúčané nainštalovaný Chrome čo najskôr aktualizovať. Aby ste zaistili včasnú a úspešnú inštaláciu opráv, najlepším nápadom je prehliadač aktualizovať manuálne a nečakať na automatický priebeh. Pokiaľ však nová verzia ešte dostupná nie je ani pri manuálnej kontrole, musíte len pár dní počkať.

Aktualizácia sa robí ťuknutím na ikonu menu v pravom hornom rohu okna, otvorením Pomocníka a následne vybratím možnosti Informácie o prehliadači. Ak najnovšia verzia Chrome ešte nainštalovaná nie je, prehliadač by mal okamžite spustiť jej sťahovanie a inštaláciu. Na konci procesu ho stačí len reštartovať. Opravená verzia Chrome s bezpečnostnými záplatami má na macOS a Linuxe označenie 104.0.5112.101, vo Windows je to zase 104.0.5112.102/101.

Aké chyby opravuje?

Web Malwarebytes zároveň podrobnejšie popísal niektoré z najvážnejších zraniteľností zahrnutých v tomto balíku opráv. Zero-day chybou zneužívanou v praxi je CVE-2022-2856, ktorá spočívala v nedostatočnom overovaní vstupov pre interné referencie v aplikácii („intents“).

Podrobnejšie informácie o tejto zraniteľnosti Google nezverejnil v záujme ochrany používateľov pred ďalšími útokmi. V princípe však problém umožnil hackerom napadnúť počítač obete a spustiť na nej vlastný kód len tým, že obeť navštívi jeho špeciálne navrhnutú webovú stránku.

Ďalších 6 zraniteľností bolo typu UAF, čo znamená chybnú dynamickú správu pamäte. Problémom bolo, že po uvoľnení operačnej pamäte neboli v programe vymazané všetky pointre na vyprázdnenú oblasť. Takýto omyl môže hackerovi umožniť podstrčenie vlastného škodlivého kódu.

Spolu s podrobnosťami o opravených zraniteľnostiach Google zverejnil taktiež výšky odmien, ktoré za ich objavenie vyplatil externým výskumníkom. Vyplatená suma za všetky chyby spolu je 29-tisíc amerických dolárov, čo v prepočte predstavuje zhruba 28,5-tisíca eur. Najvyššie samostatné odmeny dostali odborníci za UAF zraniteľnosti CVE-2022-2854 a CVE-2022-2855, v oboch prípadoch to bolo 7-tisíc dolárov (asi 6,9-tisíca eur).

Zdroj: https://zive.aktuality.sk