Chrome Zero-Day Exploit Patched, användare bör uppdatera omedelbart

Säkerhetsexperter på Google har rekommenderat alla Chrome-användare omedelbart uppdatera sin webbläsare, eftersom noll-dagars utnyttjande märkt CVE-2019-5786 har lappats i den senaste versionen 72.0.3626.121.

En nolldagars utnyttjande är en säkerhetsproblem som hackare har upptäckt, och tänkt på hur de ska utnyttjas, innan säkerhetsutvecklingen kan korrigera den. Därav termen "noll dag" - säkerhetsutvecklingen hade bokstavligen noll dagar att stänga hålet.

Google höll ursprungligen tyst om tekniska detaljer om säkerhetsproblemet tills "en majoritet av Chrome-användare uppdateras med fixen ”. Detta skulle sannolikt förhindra ytterligare skador.

Google bekräftade dock att säkerhetsproblemet är ett utnyttjande-efter-utnyttjande i FileReader-komponenten i webbläsaren. FileReader är ett standard-API som gör det möjligt för webbappar att asynkront läsa innehållet i filer lagras på en dator. Google bekräftade också att säkerhetssårbarheten har utnyttjats av onlinehotaktörer.

I ett nötskal tillåter säkerhetssårbarheten hotaktörer att få privilegier i Chrome-webbläsaren och köra godtycklig kod utanför sandlådan. Hotet påverkar alla större operativsystem (Windows, macOS och Linux).

Det måste vara ett mycket allvarligt utnyttjande, för även Justin Schun, säkerhets- och skrivbordsingenjörsledningen för Google Chrome, talade upp på Twitter.

https://twitter.com/justinschuh/status/1103087046661267456

Det är ganska ovanligt för säkerhetsteamet att offentligt ta itu med säkerhetshål, de lappar vanligtvis saker tyst. Justins tweet innebar alltså en stark känsla av brådska för alla användare att uppdatera Chrome så fort.

Google har uppdaterat mer information om sårbarheten och erkände faktiskt att det var två separata sårbarheter som utnyttjades tillsammans.

Den första sårbarheten var i Chrome själv, som förlitade sig på FileReader-exploateringen som vi beskrivit ovan.

Den andra sårbarheten var inom Microsoft Windows själv. Det var en lokal privilegieringsupptrappning i Windows win32k.sys och kunde användas som en säkerhetslåda för sandlåda. Sårbarheten är en NULL-pekardereferens i win32k! MNGetpItemFromIndex när NtUserMNDragOver () systemanrop anropas under specifika omständigheter.

Google noterade att de avslöjade sårbarheten för Microsoft och offentliggör sårbarheten eftersom den är "en allvarlig sårbarhet i Windows som vi vet utnyttjades aktivt i riktade attacker ”.

Microsoft arbetar enligt uppgift med en fix, och användare rekommenderas att uppgradera till Windows 10 och tillämpa korrigeringar från Microsoft så snart de blir tillgängliga.

Så här uppdaterar du Google Chrome på en dator

Skriv chrome: // inställningar / hjälp i adressfältet i din webbläsare eller klicka på de tre punkterna längst upp till höger och välj Inställningar som anges i bilden nedan.

Välj sedan Inställningar (staplar) i det övre vänstra hörnet och välj Om Chrome.

En gång i avsnittet Om kommer Google automatiskt att söka efter uppdateringar och om det finns en tillgänglig uppdatering kommer Google att meddela dig.