Bagovi u browserima dozvoljavaju daljinske napade
Glavni browseri dobijaju update kako bi bile ispravljene greške koje omogućavaju remote napade.
Chrome, Firefox i Edge – mete napada hakera
Proizvođači browsera Chrome, Firefox i Edge podstiču korisnike da što pre ažuriraju softver ispravkama, da bi sprečili hakere da otmu sisteme na kojima je pokrenut softver. Ranjivost Mozilla Firefox (CVE-2020-16044) odvojena je od greške prijavljene u Google-ovom browser engine-u Chromium, koja se koristi u browseru Google Chrome i Microsoftovoj najnovijoj verziji Edge browsera. U četvrtak je Agencija za sajber bezbednost i bezbednost infrastrukture (Cybersecurity and Infrastructure Security Agency – CISA) pozvala korisnike Mozilla Foundation’s Firefox browsera da zakrpe bug koji je označen kao CVE-2020-16044.
Ova ranjivost u Firefoxu klasifikovana je kao use-after-free bug I povezana je sa načinom na koji Firefox rukuje browser cookies i ukoliko bi bila iskorišćena dozvolila bi hakerima da pristupe kompjuteru, telefonu ili tabletu. Bug je mogao da modifikuje COOKIE-ECHO deo u SCTP paketu. Skraćenica SCTP označava Stream Control Transmission Protocol, koji se koristi u računarskim mrežema za komunikaciju protocol data unutar transportnog sloja internet protocol suite, ili TCP/IP. Bug je povezan sa načinom na koji SCTP rukuje cookie podacima. Svaki ulazni SCTP paket sadrži cookie chunk koji omogućava odgovarajući odgovor kolačića browsera. COOKIE ECHO chunk je isečak podataka poslatih tokom inicijalizacije SCTP veze sa browserom.
Prema Mozilli, haker bi mogao da stvori zlonamerni COOKIE-ECHO chunk, kako bi uticao na memoriju browsera. Use-after-free ranjivost, odnosi se na nepravilno korišćenje dinamičke memorije tokom rada programa. Ako nakon oslobađanja memorijske lokacije program ne izbriše pointer na tu memoriju, napadač može da iskoristi grešku za hakovanje programa. Takođe u četvrtak, CISA je pozvao korisnike Chrome-a na Windows, MacOS-a i Linux sistemima, da zakrpe out-of-bounds write bug (CVE-2020-15995) koji utiče na trenutnu verziju softvera 87.0.4280.141.
Budući da je najnoviji Microsoft browser Edge zasnovan na mehanizmu browsera Google Chromium, Microsoft je takođe pozvao svoje korisnike da ažuriraju svoju najnoviju verziju browsera Edge na 87.0.664.75. Zanimljivo je da greška CVE-2020-15995 datira iz Google-ovog bezbednosnog biltena o ažuriranju Chrome-a za Android objavljenog oktobra 2020. Ni Microsoft ni Google ne objašnjavaju zašto se CVE-2020-15995 od oktobra 2020. ponovo pojavljuje u oba njihova bezbednosna biltena od četvrtka. To je obično pokazatelj da je prvobitna ispravka bila nepotpuna.
Izvor: Threatpost
