5 Minutės
Google išleido skubų įspėjimą maždaug 2 milijardams Chrome vartotojų po to, kai naršyklės JavaScript variklyje V8 aptikta kritinė saugumo spraga. Ši klaida buvo išnaudota „lauke“ prieš išleidžiant taisymą, todėl ji primena, kad net populiariausios naršyklės gali tapti išmaniai nukreiptų kibernetinių atakų taikiniu. Informacija apie spragą ir galimus išnaudojimo scenarijus greitai išplito tarp saugumo analitikų, todėl svarbu suprasti ne tik pavojų, bet ir praktinius žingsnius, kurių reikia imtis siekiant apsaugoti asmens duomenis ir verslo infrastruktūrą.
Kodėl ši V8 spraga yra svarbi — ir kodėl tai turėtų rūpėti
Google saugumo tyrėjai nustatė Type Confusion tipo klaidą Chrome V8 JavaScript variklyje, kuri leido užpuolikams vykdyti kenksmingą kodą tik apgaudinėjant vartotoją apsilankyti kompromituotame arba suklastotame tinklalapyje. Toks saugumo pažeidžiamumas neapsiriboja vienu pavieniu incidentu: jis gali atverti kelią slaptažodžių, internetinės bankininkystės duomenų, sesijų slapukų (session cookies) ir kitų jautrių duomenų nutekėjimui. Tokia informacija gali būti panaudota paskyrų perėmimui, finansiniams sukčiavimams arba tolimesniams tiksliniams įsilaužimams.
Dar labiau neramina tai, kad išnaudojimas veikė prieš Google paskelbiant pataisą, taigi labai daug vartotojų buvo pažeidžiami nežinodami. Tokios zero-day atakos smarkiai padidina riziką: jos dažnai būna tikslinės ir vykdomos greitai, o jų aptikimas bei reagavimas reikalauja koordinuotų atnaujinimų, incidentų valdymo bei griežtos kibernetinio saugumo higienos. Organizacijoms tai reiškia būtinybę turėti įdiegtas greitas atnaujinimo ir plitimo valdymo procedūras, o privačiam vartotojui — atlikti būtinas sistemos ir naršyklės apsaugos priemones nedelsiant.
Ne tik Chrome: grėsmė visoms Chromium naršyklėms
Problema neapsiribojo vien Chrome naršykle. Bet kuri naršyklė, pastatyta ant Chromium variklio — įskaitant Microsoft Edge, Brave, Opera ir Vivaldi — perėmė tą pačią V8 spragą. Tai reiškia, kad kinta ne tik atskiro produkto rizika, o platesnis ekosistemos pavojus, efektyviai padengiantis didelę dalį interneto vartotojų. Saugumo analitikai įvertino, kad pažeidžiamumas galėjo paveikti apie 65 procentus pasaulio interneto vartotojų, ypač stalinių kompiuterių platformose, tokiose kaip Windows ir macOS, kur Chromium pagrindu veikiančios naršyklės yra plačiai paplitusios.
Ką turite padaryti dabar
Atnaujinimas yra neatsisakomas veiksmas, tačiau yra svarbi detalė: pats pataisos įdiegimas gali nepakakti. Google pabrėžė, kad vartotojai turi visiškai perkrauti (restartuoti) savo naršykles, kad saugumo pataisa įsigaliotų. Be perkrovimo pataisa gali likti neveiksni ir naršyklė, kuri lieka su senais procesais, gali toliau būti pažeidžiama. Tai ypač svarbu įmonėms, kurios naudoja ilgalaikes vartotojų sesijas ar specializuotas naršyklės sesijas virtualizuotose aplinkose.
- Atidarykite naršyklės meniu ir pasirinkite „Atnaujinti“ arba apsilankykite Apie (About) puslapyje, kad inicijuotumėte naujausią pataisą; taip užtikrinsite, kad diegiamas oficialus Google / Chromium platinamas leidimas.
- Po atnaujinimo atsisiuntimo pilnai perkraukite naršyklę — uždarykite visas langų instancijas ir paleiskite naršyklę iš naujo; tai aktyvuoja naujus procesus ir uždaro senus, galimai pažeistus, veikiančius procesus.
- Jei naudojate kitas Chromium pagrindu veikiančias naršykles, būtinai atnaujinkite ir jas: Edge, Brave, Opera ir Vivaldi turėtų gauti atitinkamus pataisus; įmonės IT administratorių laukia koordinuotas atnaujinimų valdymas per endpoint valdymo sprendimus.
- Išlaikykite operacinę sistemą, antivirusinę programinę įrangą ir kitus saugumo sluoksnius atnaujintus kaip papildomą gynybos lygį; tai sumažina galimybes išnaudoti papildomas sistemos silpnybes ir pagerina detekciją.
Greitas patarimas: patikrinkite pataisą
Chrome naršyklėje patikrinkite chrome://settings/help, kad įsitikintumėte, jog turite naujausią versiją. Jeigu vis dar rodoma galima atnaujinimo versija, įdiekite ją ir nedelsiant perkraukite. Organizacijoms rekomenduojama prioritetizuoti endpointų pataisymą, pritaikyti automatinius atnaujinimus, kur įmanoma, ir priminti darbuotojams apie būtinybę paleisti naršykles iš naujo po atnaujinimų. Be to, verta patikrinti naršyklės plėtinių sąrašą: laikinai išjungti arba pašalinti nepatikimus priedus gali sumažinti paviršių, kuriuo užpuolikai gali mėginti įterpti kenksmingą kodą.
Kaip reaguoja Google
Atsakydama į incidentą Google pranešė, kad sustiprino savo su dirbtiniu intelektu paremtas klaidų aptikimo sistemas ir intensyvina zero-day aptikimo priemones. Kompanija taip pat pabrėžė paprastą, bet gyvybiškai svarbų pranešimą: augant zero-day atakų skaičiui, greičiausia apsauga yra skubi pataisų diegimas kartu su geromis kibernetinio higienos praktikomis. Tai apima automatinių atnaujinimų įjungimą, stiprių slaptažodžių ir daugiapakopės autentifikacijos (MFA) taikymą, ribojimą privilegijų pagal principą „mažiausių teisių“, ir reguliarias saugumo audito procedūras.
Palyginkite skirtumą tarp patched naršyklės ir tokios, kuri paleista su senais procesais: greitas perkrovimas gali būti vienintelis žingsnis, kuris užkerta kelią užpuolikui prasiskverbti. Jei šiandien dar neatnaujinote ir neperkrovėte savo naršyklės, padarykite tai kaip pirmą šios dienos užduotį. Be to, rekomenduojama naudoti papildomas apsaugos priemones, tokias kaip patikimi slaptažodžių valdytojai, dviejų faktorių autentifikacija ir tinklo lygmens filtravimas, kad sumažintumėte galimos žalos mastą net jei vartotojo įrenginys buvo laikinai pažeistas.
Šaltinis: smarti
Palikite komentarą