Google, vahşi doğada istismar edilen yüksek ciddi sıfır gün hatasını gidermek için Windows, Mac ve Linux kullanıcıları için Chrome 99.0.4844.84’ü yayımladı.
Tarayıcı satıcısı, “Google, CVE-2022-1096 için bir açıktan yararlanmanın doğada var olduğunun farkında” dedi. güvenlik danışmanlığı Cuma günü yayınlandı.
99.0.4844.84 sürümü, Kararlı Masaüstü kanalında dünya çapında kullanıma sunuldu ve Google, tüm kullanıcı tabanına ulaşmasının birkaç hafta sürebileceğini söylüyor.
Bu güncelleme, BleepingComputer Chrome menüsü > Yardım > Google Chrome Hakkında’ya giderek yeni güncellemeleri kontrol ettiğinde hemen kullanıma sunuldu.
Web tarayıcısı ayrıca yeni güncellemeleri otomatik olarak kontrol edecek ve bir sonraki başlatmadan sonra bunları otomatik olarak yükleyecektir.
Sömürü detayları açıklanmadı
Sıfır gün hatası bugün düzeltildi (olarak izlendi CVE-2022-1096) yüksek bir şiddettir tip karışıklığı anonim bir güvenlik araştırmacısı tarafından bildirilen Chrome V8 JavaScript motorundaki zayıflık.
Tür karışıklığı kusurları, arabellek sınırlarının dışına bellek okuyarak veya yazarak başarılı bir şekilde yararlanmanın ardından genellikle tarayıcı çökmelerine yol açsa da, saldırganlar bunları keyfi kod yürütmek için de kullanabilir.
Google, bu sıfır günden yararlanan saldırılar tespit ettiğini söylese de, şirket bu olaylarla ilgili teknik ayrıntıları veya ek bilgileri paylaşmadı.
Google, “Hata ayrıntılarına ve bağlantılara erişim, kullanıcıların çoğu bir düzeltmeyle güncellenene kadar kısıtlı tutulabilir” dedi.
“Ayrıca, diğer projelerin benzer şekilde bağlı olduğu ancak henüz düzeltmediği bir üçüncü taraf kitaplığında hata varsa, kısıtlamaları da koruyacağız.”
Google Chrome kullanıcıları, tarayıcı satıcısı daha fazla bilgi yayınlayana kadar Chrome’u yükseltmek ve istismar girişimlerini önlemek için yeterli zamana sahip olmalıdır.
Bu yıl ikinci Chrome sıfır gün yaması
Bu güncellemeyle Google, 2022’nin başlangıcından bu yana ikinci Chrome sıfır gününü ele aldı, diğeri (CVE-2022-0609 olarak izlendi) geçen ay yamalı.
Google Tehdit Analizi Grubu (TAG), Kuzey Kore destekli devlet bilgisayar korsanlarının Şubat yamasından önce CVE-2022-0609 sıfır gün haftasından yararlandı. Aktif sömürünün en erken belirtisi 4 Ocak 2022’de bulundu.
Sıfır gün, Kuzey Kore hükümeti tarafından desteklenen iki ayrı tehdit grubu tarafından, sahte iş yemleri kullanan kimlik avı e-postaları yoluyla kötü amaçlı yazılımları iten kampanyalarda ve bir istismar kitine hizmet etmek için gizli iframe’leri barındıran güvenliği ihlal edilmiş web siteleri tarafından istismar edildi.
Araştırmacılar, “E-postalar, Indeed ve ZipRecruiter gibi meşru iş arama web sitelerini yanıltıcı bağlantılar içeriyordu” dedi.
“Diğer durumlarda, iframe’leri barındıran ve ziyaretçilerini istismar kitine yönlendiren – zaten truva atlanmış kripto para birimi uygulamalarını dağıtmak için kurulmuş olan – sahte web sitelerini gözlemledik.”