심각도가 높은 Chrome 버그로 인해 브라우저 해킹이 허용됨

[아름이]

심각도가 높은 Chrome 버그로 인해 브라우저 해킹이 허용됨

브라우저의 데스크톱 버전은 총 8 건의 수정 사항을 받았습니다.

Google은 Chrome 웹 브라우저를 업데이트하여 심각도 등급이 "높음"인 버그 4 개와 전체 8 개를 수정했습니다. 3 가지는 사용 후 사용하지 않는 결함으로, 공격자가 브라우저 메모리에 오류를 생성하여 브라우저 해킹 및 호스트 컴퓨터 손상의 문을 열 수 있습니다.

금요일에 CISA (Cybersecurity and Infrastructure Security Agency) 는 사용자와 infosec 관리자에게 업데이트를 적용 할 것을 촉구 하는 보안 게시판을 발표했습니다 . 이 기관은 공격자가 "영향을받는 시스템을 제어하기 위해"취약점을 사용할 수 있다고 경고했습니다.

Google의 12 월 보안 게시판에 따르면 이전 Windows, macOS 및 Linux 버전의 Chrome 데스크톱 브라우저는 공격에 취약합니다. Chrome의 업데이트 된 87.0.4280.88 버전은 버그를 해결하고 "앞으로 며칠 / 주에 걸쳐 배포"될 것이라고 Google은 썼습니다 .

Chrome 브라우저를 수동으로 업데이트하는 방법
Chrome 브라우저를 수동으로 업데이트하려면 클라이언트 오른쪽 상단에있는 Chrome의 맞춤 설정 드롭 다운 메뉴를 방문하세요. 해당 메뉴에서 "도움말"을 선택한 다음 "Google 크롬 정보"를 선택합니다. 해당 메뉴 항목을 열면 Chrome이 자동으로 업데이트를 찾습니다.

구글은“대부분의 사용자가 수정 사항을 업데이트 할 때까지 각 버그와 관련된 세부 사항은 현재 보류 중”이라고 말했다. 또한 다른 장치 나 플랫폼에서 사용되는 타사 코드 라이브러리에 버그가있는 경우 버그에 대한 기술적 세부 사항이 제한된다는 점도 언급했습니다.

버그 분석 : 고유 한 Linux 결함
심각도가 높은 세 가지 버그에는 각각 Chrome의 클립 보드, 미디어 및 확장 프로그램 구성 요소에 연결된 메모리에 영향을 미치는 사후 사용 요소가 포함됩니다. 버그는 CVE-2020-16037, CVE-2020-16038 및 CVE-2020-16039로 추적됩니다.

네 번째 심각도가 높은 버그 (CVE-2020-16040)는 Google의 오픈 소스 및 고성능 JavaScript 및 V8이라고하는 WebAssembly 엔진에 영향을줍니다. 이 버그는 불충분 한 데이터 유효성 검사 결함으로 식별되어 경우에 따라 교차 사이트 스크립팅 공격의 대상이됩니다.

Google의 V8 자바 스크립트 엔진도 이번 달에 두 번째 패치를 받았습니다. 이번 12 월에보고 된 두 개의 중간 심각도 버그 중 하나입니다. CVE-2020-16042로 추적되는이 문제는 V8에 영향을 미치는 "초기화되지 않은 사용"버그로 식별됩니다. Google 게시판에서 결함의 정확한 성격이 명확하지 않습니다. 그러나 사이버 보안 연구자들은 이러한 유형의 초기화되지 않은 사용 버그를 "대부분 간과"하고 "중요하지 않은 메모리 오류로 간주"한다고 설명했습니다.

Georgia Institute of Technology에서 발표 한 2017 년 연구 에 따르면 "[이것들]은 실제로 해커가 Linux 커널에서 권한 상승 공격을 시작하기 위해 안정적으로 악용 할 수있는 중요한 공격 벡터입니다 ."

두 번째 중간 심각도 버그 (CVE-2020-16041)는 "네트워킹에서 범위를 벗어난 읽기"취약점입니다. 이로 인해 공격자가 메모리의 개체에 부적절하게 액세스 할 수 있습니다. CVE의 기술적 세부 사항도 공개되지 않지만 이러한 유형의 취약성은 인증되지 않은 공격자가 취약한 소프트웨어에 잘못된 메시지를 보낼 수 있도록합니다. 메시지의 유효성 검사가 충분하지 않아 대상 프로그램이 강제로 중단 될 수 있습니다.

Google은 이번 달의 버그를 식별하는 데 기여한 여러 보안 연구원을 인정했습니다. Ryoya Tsukasaki는 Chrome 클립 보드에서 use-after-free 버그 (CVE-2020-16037)를 찾아서 연구원에게 5,000 달러의 버그 현상금을 지급 한 것에 대해 감사를 표했습니다. Khalil Zhani, Lucas Pinheiro, Sergei Glazunov, André Bargull 및 Mark Brand도 버그 사냥 노력으로 공로를 인정 받았습니다.