Google afslører også relateret Microsoft Windows-sårbarhed
2 minutter læst
Google Chrome
Sikkerhedseksperter hos Google har anbefalet alle Chrome-brugere med det samme opdater deres browser, da nul-dages udnyttelse mærket CVE-2019-5786 er blevet patched i den nyeste version 72.0.3626.121.
En nul-dags udnyttelse er en sikkerhedssårbarhed, som hackere har opdaget og fundet ud af, hvordan de skal udnyttes, før sikkerhedsudvikling er i stand til at lappe den. Derfor har udtrykket 'nul dag' - sikkerhedsudvikling bogstaveligt talt haft nul dage til at lukke hullet.
Google holdt oprindeligt stille om tekniske detaljer om sikkerhedssårbarheden, indtil ' et flertal af Chrome-brugere opdateres med rettelsen ”. Dette kunne sandsynligvis forhindre yderligere skader.
Imidlertid bekræftede Google, at sikkerhedssårbarheden er en udnyttelse efter brug i FileReader-komponenten i browseren. FileReader er en standard API, der giver webapps mulighed for asynkront at læse indholdet af filer gemt på en computer . Google bekræftede også, at sikkerhedssårbarheden er blevet udnyttet af online trusselaktører.
I en nøddeskal giver sikkerhedssårbarheden trusselaktører mulighed for at få privilegier i Chrome-browseren og køre vilkårlig kode uden for sandkassen . Truslen påvirker alle større operativsystemer ( Windows, macOS og Linux) .
Det må være en meget seriøs udnyttelse, for selv Justin Schun, Security and Desktop Engineering Lead for Google Chrome, talte op på Twitter.
https://twitter.com/justinschuh/status/1103087046661267456
Det er ret usædvanligt, at sikkerhedsteamet offentligt adresserer sikkerhedshuller, de lapper typisk stille ting. Justin's tweet indebar således en stærk følelse af haster for alle brugere at opdatere Chrome så hurtigt som muligt.
Google har opdaterede flere detaljer om sårbarheden, og erkendte faktisk, at det var to separate sårbarheder, der blev udnyttet i tandem.
Den første sårbarhed var inden for Chrome selv, som stod på FileReader-udnyttelsen, som vi detaljerede ovenfor.
Den anden sårbarhed var inden for Microsoft Windows selv. Det var en lokal rettighedsforøgelse i Windows win32k.sys og kunne bruges som en sikkerhedssandkasse-flugt. Sårbarheden er en NULL-pointerderference i win32k! MNGetpItemFromIndex, når NtUserMNDragOver () systemopkald kaldes under specifikke omstændigheder.
Google bemærkede, at de afslørede sårbarheden over for Microsoft og offentliggør sårbarheden offentligt, fordi den er ' en alvorlig sårbarhed i Windows, som vi ved, blev udnyttet aktivt i målrettede angreb ” .
Microsoft arbejder angiveligt på en løsning, og det anbefales, at brugerne opgraderer til Windows 10 og anvender programrettelser fra Microsoft, så snart de bliver tilgængelige.
Sådan opdateres Google Chrome på en pc
I adresselinjen i din browser skal du skrive chrome: // settings / help eller klikke på de tre prikker øverst til højre og vælge Indstillinger som angivet i billedet nedenfor. 
Vælg derefter Indstillinger (bjælker) i øverste venstre hjørne, og vælg Om Chrome.
En gang i sektionen Om vil Google automatisk kontrollere for opdateringer, og hvis der er en tilgængelig opdatering, underretter Google dig om det.
