Google, Chrome Web tarayıcısının bu yıl saldırılarda kullanıldığı bulunan ikinci sıfır gün güvenlik açığını düzeltmek için bir güvenlik güncellemesi yayınladı.
"Google, vahşi doğada CVE-2023-2136 için bir istismarın var olduğunun farkındadır."
Yeni sürüm 112.0.5615.137'dir ve toplam sekiz güvenlik açığını giderir. İstikrarlı sürüm yalnızca Windows ve Mac kullanıcıları için kullanılabilir, Linux sürümü "yakında" sunulur.
Chrome güncelleme prosedürünü, aktif olarak sömürülen güvenlik sorununu ele alan en son sürüme manuel olarak başlatmak için Chrome Ayarları menüsüne (sağ üst köşe) gidin ve Google Chrome hakkında Yardım → Seçin.
Aksi takdirde, güncellemeler tarayıcı bir sonraki kullanıcı müdahalesi gerekmeden başladığında yüklenir. Güncellemeyi tamamlamak için uygulamanın yeniden başlatılması gerekir.
CVE-2023-2136, Google'a ait açık kaynaklı çoklu platformlu 2D grafik kütüphanesi olan SKIA'da C ++ 'da yazılmış yüksek aralıklı bir tamsayı taşma güvenlik açığıdır.
SKIA, Chrome'a grafik, metin, şekil, görüntü ve animasyon oluşturma için bir dizi API sağlar ve tarayıcının oluşturma boru hattının temel bir bileşeni olarak kabul edilir.
Tamsayı taşma hataları, bir işlem belirli bir tamsayı türü için maksimumu aşan bir değerle sonuçlandığında, genellikle beklenmedik yazılım davranışına veya güvenlik sonuçlarına yol açtığında ortaya çıkar.
SKIA bağlamında, yanlış oluşturma, hafıza yolsuzluğu ve yetkisiz sistem erişimine yol açan keyfi kod uygulamasına yol açabilir.
Güvenlik açığı, bu ayın başlarında Google'ın Tehdit Analiz Grubu'ndan (TAG) Clément Lecigne tarafından bildirildi.
Chrome'daki aktif olarak sömürülen kusurları düzeltirken standart uygulamasını takiben Google, Saldırılarda CVE-2023-2136'nın nasıl kullanıldığı ve sömürü yöntemini ve ilgili riskleri spekülasyona açık bıraktığı hakkında birçok ayrıntı açıklamamıştır.
Bu, tehdit aktörlerinin kendi istismarlarını geliştirmelerini sağlayabilecek teknik ayrıntıları paylaşmadan önce kullanıcıların yazılımlarını daha güvenli sürüme güncellemelerine olanak sağlamaktır.
Güvenlik Bülteni, "Hata ayrıntılarına ve bağlantılarına erişim, kullanıcıların çoğunluğu bir düzeltme ile güncellenene kadar kısıtlanabilir."
"Diğer projelerin benzer şekilde bağlı olduğu, ancak henüz düzeltilmediği üçüncü taraf bir kütüphanede hata varsa, kısıtlamaları da koruyacağız" - Google
Geçen Cuma, Google, 2023'te keşfedilen tarayıcıda ilk aktif olarak sömürülen güvenlik açığı olan CVE-2023-2033'ü düzeltmek için başka bir acil durum Chrome güncellemesi yayınladı.
Bu kusurlar genellikle hükümetlerde, medyada veya diğer kritik kuruluşlarda çalışan yüksek profilli kişileri hedefleyen, çoğu zaman devlet destekli gelişmiş tehdit aktörleri tarafından kullanılır. Bu nedenle, tüm Chrome kullanıcılarının mevcut güncellemeyi mümkün olan en kısa sürede uygulaması önerilir.
Bilgisayar korsanları çoğunlukla 2022'de Microsoft, Google, Apple Zero-Days'i hedef aldı
Bilgisayar korsanları aktif olarak kritik RCE hatasını kağıtkut sunucularında kullanır
Fortra, Goany Where MFT Zero-Day saldırılarıyla ilgili bulguları paylaşıyor
Google Chrome Acil Durum Güncellemesi 2023'ün ilk sıfır gününü düzeltiyor
Microsoft Nisan 2023 Patch Salı Düzeltmeleri 1 Sıfır Gün, 97 Kusur
Kaynak: Bleeping Computer