Aktívan kihasznált Chrome RCE sebezhetőséget javított a Google, azonnali frissítés javasolt!

 ( trey | 2019. március 6., szerda - 11:06 )

A Google Chrome csapat szerint aktívan kihasználnak jelenleg is az interneten egy, a Chrome böngészőben található RCE (távoli kódfuttatás) sebezhetőséget. Javasolt azonnal frissíteni!

Google is aware of reports that an exploit for CVE-2019-5786 exists in the wild.

Részletek itt.

Hozzászólás megjelenítési lehetőségek

A választott hozzászólás megjelenítési mód a „Beállítás” gombbal rögzíthető.

A névjegye szerint az aktuális van fent. "Verzió: 72.0.3626.121 (Hivatalos verzió) (64 bites)"
Windowson szó nélkül frissíti magát ha kell, Linuxon meg ugye a rendszer frissítés kezelője gondoskodik róla.
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba!; DropBox

dejo

Ez már az uBlock-talanított Chrome verzió legalább?

Attól a Google ugye azóta visszalépett.

Frissíti magát, de nincs automata újraindítás, így simán lehet hogy hetekig a régi verzió fut, ha a user (pl én) nem indítgatom újra a Chromeot soha :/

Nehéz ügy.

Mondanám, hogy PEBKAC, de azért nem teljesen az.
Nem jó ha kiveszik a kezedből az irányítást, és közli a Windows hogy akkor most tenyerelj rá a Ctrl-S -re, mert jön a reboot, de a Te eseted azt mutatja, hogy az sem jó, ha a rendszer teljes szabadságot ad, mert aki él vele, az bajba kerülhet.

A középút talán az lenne, ha a Chrome néha hazatelefonálna, és ha azt hallja otthon, hogy na akkor most gyorsan riaszd a felhasználót, hogy telepítsen és indítson újra, akkor egy szép piros villogó ablakban tudathatná a nagyérdeművel, hogy most krízis van, 0day a láthatáron, jönnek a chuk-chuk -ok, satöbbi, de főleg upgrade és program restart kell, de most, és nem holnap, és bekapcsolom a szirénát ha nem nyomod meg most azonnal az [Update Now] gombot!

De akkor meg jönnének az ufó hívők, hogy hát csak ne telefonálgasson haza, mert még mást is elpletykál rólunk. És még igazuk is lenne.

Nehéz ügy.

"A középút talán az lenne, ha a Chrome néha hazatelefonálna"

Néha, ez jó.

Jelzi kis sárga / piros ikonnal, hogy frissíteni/restartolni kéne frissítés miatt. Szóval ez már készen vna, az hogy a user ezt is figyelmen kívül hagyja, akkor megérdemli ha elviszik a chuk-chuk-ok.
--
Lenovo x220: Windows10 | Lenovo Y520: Mint/Cinnamon

Nálam nem frissíti magát, mert Chrome helyett Chromium van, ami a tárolókból frissül csomagkezelős frissítéssel, de én mindig újraindítom az érintett progikat (vagy kernel, systemd, mesa, stb. frissítésnél az egész gépet). Jelenleg nálam is azt írja, hogy:
About Chromium
Chromium
Version 72.0.3626.121 (Official Build) Arch Linux (64-bit)


No keyboard detected... Press F1 to run the SETUP

Mi van a sandboxszal?

The second vulnerability was in Microsoft Windows. It is a local privilege escalation in the Windows win32k.sys kernel driver that can be used as a security sandbox escape. The vulnerability is a NULL pointer dereference in win32k!MNGetpItemFromIndex when NtUserMNDragOver() system call is called under specific circumstances.

https://security.googleblog.com/2019/03/disclosing-vulnerabilities-to-protect.html

Nope. A Chrome bug az nem ez.
Két bug van a blogposztban, és amit te linkelsz, az nem a Chrome bugja, ne terelj.
Ők felfedeztek egy bugot a Chrome-ban is, meg a Windows-ban is. A topic meg a Chrome bugjáról szól.
Ezt kéne linkelned:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5786
Mert ez a Chrome bug.
De hát itt ugye nem publikus az infó, a Chromium bugtrackeren is permission denied-ot kap az ember, https://bugs.chromium.org/p/chromium/issues/detail?id=936448

Ez aztán a full disclosure. Újabb szép kettősmérce a Google-től. A Windows bug minden részletét elárulják, de a Chrome bug az szupertitkos.
Pedig itt van ám: https://chromium.googlesource.com/chromium/src/+/150407e8d3610ff25a45c7c46877333c4425f062%5E%21/#F0
Egy use-after-free bug, amit ki lehet használni sokmindenre.

> Két bug van a blogposztban, és amit te linkelsz, az nem a Chrome bugja, ne terelj.

A kérdés így szólt: Mi van a sandboxszal?

Alapesetben a sandboxing megvédene ilyen jellegű hibától, ezért egy másik (ez esetben a windowsban rejlő) hibával kell kombinálni, hogy korlátlan elérést kaphassanak a géphez.

Vajon ezt a megtalalasatol szamitott 90 napon belul javitottak?

Igen.

CVE-2019-5786: Use-after-free in FileReader. Reported by Clement Lecigne of Google's Threat Analysis Group on 2019-02-27

:(

--
trey @ gépház

:)

--
Soli Deo Gloria

És azt hallottátok, hogy két semmitmondó smiley bemegy a kocsmába, mire a csapos megkérdezi: Na mi van gyerekek, mosolyszünet van?

Kicsit korábbinak tűnik innen nézve:

20190109 Disclaimer: The entry creation date may reflect when the CVE ID was allocated or reserved, and does not necessarily indicate when this vulnerability was discovered, shared with the affected vendor, publicly disclosed, or updated in CVE.

Pontosan ezt mondja, amit idezel: a CVE szamokat elore lefoglaljak sokszor / kiosztjak a cegeknek. A problema 02-27-en lett reportolva.

Valóban, ezt benéztem, szépen

Bocs ha nem tűnök majd elég komolynak, de túl vagyok az első röhögő göcsömön, mivel eszembe jutottak a Chome motoros Edge-ek. Ez érinti azokat is? Azokat is a Gugli fogja foltozni, vagy az M$ tákolgatja a továbbiakban? Esetleg az Edge-ken is megjelenik majd a Google üzenete, hogy frissíteni kellene a verziót? Elég bizarr lenne - bár a Chrome motoros Edge is már önmagában az.

Nagy igazság a "sose mond, hogy soha" közhely.

Természetesen a Microsoft fogja be-mergelni a javítást, és kiadni a frissítést, mivel az ő böngészője lesz.

> Elég bizarr lenne - bár a Chrome motoros Edge is már önmagában az.

Miért lenne az? A chromium sem önálló project: a webkit-re/safari-ra épül, ami meg a KHTML/KDE forkja.

Fixme, de a Chromium már Blink-re épül.

Mivel az is egy (2013-as) webkit fork, így szerintem mondhatjuk, hogy webkit alapú.

A Microsoft is tervez windows-specifikus módosításokat a rendering engine-en. Hogy ez a chromium-ba visszamergelve vagy külön forkban fog megtörténni majd idővel eldől.

Btw a frissítésekről: Microsoft Edge (Chromium) will be updated independently of the OS, either through Windows Update, an in-browser updater, or another method.

Tudom, hogy a WebKit-et forkolták, csak a Blink hiányzott nekem ebből a mondatból:
"chromium sem önálló project: a webkit-re/safari-ra épül, ami meg a KHTML/KDE forkja"