Aktívan kihasznált Chrome RCE sebezhetőséget javított a Google, azonnali frissítés javasolt!

Titkosítás, biztonság, privát szféra

A Google Chrome csapat szerint aktívan kihasználnak jelenleg is az interneten egy, a Chrome böngészőben található RCE (távoli kódfuttatás) sebezhetőséget. Javasolt azonnal frissíteni!

Google is aware of reports that an exploit for CVE-2019-5786 exists in the wild.

Részletek itt.

( dejo v | 2019. 03. 06., sze – 11:52 )

A névjegye szerint az aktuális van fent. "Verzió: 72.0.3626.121 (Hivatalos verzió) (64 bites)"
Windowson szó nélkül frissíti magát ha kell, Linuxon meg ugye a rendszer frissítés kezelője gondoskodik róla.
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba!; DropBox

Nehéz ügy.

Mondanám, hogy PEBKAC, de azért nem teljesen az.
Nem jó ha kiveszik a kezedből az irányítást, és közli a Windows hogy akkor most tenyerelj rá a Ctrl-S -re, mert jön a reboot, de a Te eseted azt mutatja, hogy az sem jó, ha a rendszer teljes szabadságot ad, mert aki él vele, az bajba kerülhet.

A középút talán az lenne, ha a Chrome néha hazatelefonálna, és ha azt hallja otthon, hogy na akkor most gyorsan riaszd a felhasználót, hogy telepítsen és indítson újra, akkor egy szép piros villogó ablakban tudathatná a nagyérdeművel, hogy most krízis van, 0day a láthatáron, jönnek a chuk-chuk -ok, satöbbi, de főleg upgrade és program restart kell, de most, és nem holnap, és bekapcsolom a szirénát ha nem nyomod meg most azonnal az [Update Now] gombot!

De akkor meg jönnének az ufó hívők, hogy hát csak ne telefonálgasson haza, mert még mást is elpletykál rólunk. És még igazuk is lenne.

Nehéz ügy.

Nálam nem frissíti magát, mert Chrome helyett Chromium van, ami a tárolókból frissül csomagkezelős frissítéssel, de én mindig újraindítom az érintett progikat (vagy kernel, systemd, mesa, stb. frissítésnél az egész gépet). Jelenleg nálam is azt írja, hogy:
About Chromium
Chromium
Version 72.0.3626.121 (Official Build) Arch Linux (64-bit)

No keyboard detected... Press F1 to run the SETUP

The second vulnerability was in Microsoft Windows. It is a local privilege escalation in the Windows win32k.sys kernel driver that can be used as a security sandbox escape. The vulnerability is a NULL pointer dereference in win32k!MNGetpItemFromIndex when NtUserMNDragOver() system call is called under specific circumstances.

https://security.googleblog.com/2019/03/disclosing-vulnerabilities-to-p…

Nope. A Chrome bug az nem ez.
Két bug van a blogposztban, és amit te linkelsz, az nem a Chrome bugja, ne terelj.
Ők felfedeztek egy bugot a Chrome-ban is, meg a Windows-ban is. A topic meg a Chrome bugjáról szól.
Ezt kéne linkelned:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5786
Mert ez a Chrome bug.
De hát itt ugye nem publikus az infó, a Chromium bugtrackeren is permission denied-ot kap az ember, https://bugs.chromium.org/p/chromium/issues/detail?id=936448

Ez aztán a full disclosure. Újabb szép kettősmérce a Google-től. A Windows bug minden részletét elárulják, de a Chrome bug az szupertitkos.
Pedig itt van ám: https://chromium.googlesource.com/chromium/src/+/150407e8d3610ff25a45c7…
Egy use-after-free bug, amit ki lehet használni sokmindenre.

> Két bug van a blogposztban, és amit te linkelsz, az nem a Chrome bugja, ne terelj.

A kérdés így szólt: Mi van a sandboxszal?

Alapesetben a sandboxing megvédene ilyen jellegű hibától, ezért egy másik (ez esetben a windowsban rejlő) hibával kell kombinálni, hogy korlátlan elérést kaphassanak a géphez.

( Hevi v | 2019. 03. 06., sze – 21:54 )

Vajon ezt a megtalalasatol szamitott 90 napon belul javitottak?

( tepo | 2019. 03. 07., cs – 17:41 )

Bocs ha nem tűnök majd elég komolynak, de túl vagyok az első röhögő göcsömön, mivel eszembe jutottak a Chome motoros Edge-ek. Ez érinti azokat is? Azokat is a Gugli fogja foltozni, vagy az M$ tákolgatja a továbbiakban? Esetleg az Edge-ken is megjelenik majd a Google üzenete, hogy frissíteni kellene a verziót? Elég bizarr lenne - bár a Chrome motoros Edge is már önmagában az.

Nagy igazság a "sose mond, hogy soha" közhely.

Természetesen a Microsoft fogja be-mergelni a javítást, és kiadni a frissítést, mivel az ő böngészője lesz.

> Elég bizarr lenne - bár a Chrome motoros Edge is már önmagában az.

Miért lenne az? A chromium sem önálló project: a webkit-re/safari-ra épül, ami meg a KHTML/KDE forkja.

Mivel az is egy (2013-as) webkit fork, így szerintem mondhatjuk, hogy webkit alapú.

A Microsoft is tervez windows-specifikus módosításokat a rendering engine-en. Hogy ez a chromium-ba visszamergelve vagy külön forkban fog megtörténni majd idővel eldől.

Btw a frissítésekről: Microsoft Edge (Chromium) will be updated independently of the OS, either through Windows Update, an in-browser updater, or another method.