مرورگر کروم وصله شد

گوگل یک آسیب‌پذیری بسیار خطرناک را در مرورگر خود وصله کرد، اما جزییاتی درباره این آسیب‌پذیری ارائه نداد.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، گوگل از کاربران می‌خواهد مرورگر رومیزی کروم خود را به‌روزرسانی کنند تا در معرض مسائل امنیتی مرتبط با آسیب‌پذیری بسیار خطرناک سرریز بافر مبتنی‌بر پشته‌ قرار نگیرند. گوگل روز پنج‌شنبه در هشداری گفت یک به‌روزرسانی برای اکثر مرورگرها منتشر شده‌است.

عبدل سید، یکی از مهندسان گوگل کروم، در یک بولتن امنیتی در وبلاگ انتشار گوگل کروم نوشت: «این مرورگر برای سیستم‌های عامل ویندوز، مک، لینوکس به نسخه‌ ۶۲.۰.۳۲۰۲.۷۵ به‌روزرسانی شده‌است و در روزها و هفته‌های آتی گسترده خواهدشد.»

به گفته‌ گوگل، این آسیب‌پذیری به موتور جاوا اسکریپت متن‌باز کروم با نام V۸ مربوط است که در سیستم‌های عامل ویندوز ۷ و بعد از آن، مک ۱۰٫۵و بعد از آن و لینوکس که از پردازنده‌ اینتل با معماری ۳۲ بیتی، ARM یا MIPS استفاده می‌کنند، مورد استفاده قرار می‌گیرد.

گوگل هیچ جزییاتی درباره‌ این آسیب‌پذیری سرریز بافر پشته که با شناسه‌ CVE-۲۰۱۷-۱۵۳۹۶ ردیابی می‌شود، منتشر نکرده و در بیانیه‌ای گفت:‌ «دسترسی به جزییات و پیوندهای آسیب‌پذیری احتمالا تا زمانی که اکثر کاربران با وصله‌ منتشرشده، نرم‌افزار خود را به‌روزرسانی نکرده‌اند، محرمانه نگه داشته‌می‌شود. ما همچنین در صورتی‌که این آسیب‌پذیری در کتابخانه‌ شخص ثالثی که پروژه‌های دیگری نیز به آن وابسته هستند، موجود باشد، اما هنوز وصله نشده‌باشد، محدودیت‌های آشکارسازی را حفظ خواهیم کرد.»

به گفته‌ گوگل، کروم V۸ در قالب ++C و Node.js نوشته شده‌است و می‌تواند در هر برنامه‌ی ++C گنجانده شده و یا به صورت مستقل اجرا شود.

معمولا این نوع آسیب‌پذیری به مهاجمان اجازه می‌دهد تا کد دلخواه خود را درون یک برنامه‌ هدف اجرا کنند. طبق یک توضیح که بنیاد OWASP درباره‌ این آسیب‌پذیری ارائه کرده‌است، یک تلاش برای بهره‌برداری ناموفق منجر به یک حمله‌ی منع سرویس توزیع‌شده می‌شود.

بر اساس یک تحلیل آسیب‌پذیری که توسط محققان Risk Based Security ارائه شد، این آسیب‌پذیری در مولفه‌های بین‌المللی مربوط به یونیکد برای سی و ++C وجود دارد که یک کتابخانه‌ مورد استفاده برای V۸ است. به گفته‌ پژوهشگران هرچند این آسیب‌پذیری، V۸ را تحت تاثیر قرار داده ولی کد آسیب‌پذیر متعلق به گوگل نیست. این آسیب‌پذیری توسط پو ژون، محقق امنیتی در روز ۳۰ سپتامبر گزارش شد. او به خاطر این کشف در برنامه‌ پاداش در ازای اشکال گوگل، مبلغ ۳ هزار دلار پاداش دریافت کرد.

ماه دسامبر سال ۲۰۱۶ میلادی، گوگل همچنین آسیب‌پذیری‌های بسیار خطرناک دیگری را در موتور جاوا اسکریپت V۸ کروم وصله کرد. یکی از این آسیب‌پذیر‌ی‌ها به عنوان یک آسیب‌پذیری «دسترسی به ویژگی‌های محرمانه در V۸» توصیف شده‌است. مسئله‌ دیگر موجود در V۸، یک آسیب‌پذیری استفاده پس از آزادسازی در V۸ است. مرکز پاسخ‌گویی به رخدادهای رایانه‌ای آمریکا روز جمعه یک هشدار برای آسیب‌پذیری سرریز بافر منتشر کرد.

روز پنج‌شنبه، گوگل همچنین برای مرورگر کروم اندروید نیز یک به‌روزرسانی با نسخه‌۶۲.۰.۳۲۰۲.۷۳ منتشر کرد که یک آسیب‌پذیری نشت حافظه و یک مسئله‌ تصادم مهم را وصله کرد.

گوگل قبلا در ۱۷ اکتبر، نسخه‌ رومیزی مرورگر کروم ۶۲ را به‌روزرسانی کرده‌بود. این به‌روزرسانی با نسخه‌ ۶۲.۰.۳۲۰۲.۶۲، شامل ۳۵ به‌روزرسانی امنیتی بود که ۸ مورد از آنها با عنوان بسیار خطرناک و ۷ مورد با عنوان متوسط دسته‌بندی شده بودند. بیشترین مبلغی که در برنامه‌ پاداش در ازای اشکال پرداخت شد، مبلغ ۸۸۳۷ دلار برای آسیب‌پذیری UXSS با HTML با شناسه‌ CVE-۲۰۱۷-۵۱۲۴ بود که به یک محقق ناشناس تعلق گرفت.

به گفته‌ شرکت ردهت، این آسیب‌پذیری در پردازش صفحات وب ناهنجار پیدا شده‌است. یک صفحه‌ وب که دارای محتوای مخرب باشد می‌تواند منجر به آسیب‌ به کرومیوم، اجرای کد دلخواه یا آشکار شدن اطلاعات حساس در زمان بازدید قربانی شود.