Jeżeli twoja przeglądarka pokazuje numer niższy niż 152.0.7977.82, czytasz ten tekst w programie z dziurą, która jest już wykorzystywana w atakach. Google potwierdziło to jednym zdaniem, w dniu wydania poprawki, i nie dodało nic więcej. Dzień później amerykańska agencja CISA wpisała lukę na listę podatności wykorzystywanych w atakach. Aktualizacja Chrome zajmuje kilkanaście sekund, ale ma pewien haczyk: poprawka instaluje się dopiero po ponownym uruchomieniu przeglądarki, więc samo jej pobranie w tle niczego jeszcze nie załatwia.
Sprawdź numer wersji, zanim przeczytasz resztę
Wersję zobaczysz pod adresem chrome://settings/help, czyli w menu Pomoc, w pozycji “Chrome – informacje”. To samo okno od razu sprawdza dostępność aktualizacji i ją pobiera. Jeśli po sprawdzeniu pojawi się przycisk ponownego uruchomienia, kliknij go od razu. Bez restartu działa dalej stary kod.
| System | Wersja z poprawką |
|---|---|
| Windows | 152.0.7977.82 lub .83 |
| macOS | 152.0.7977.82 lub .83 |
| Linux | 152.0.7977.82 |
Wydanie ukazało się 3 września i Google opisało je w standardowym wpisie o kanale stabilnym dla komputerów. Producent zaznacza przy okazji, że aktualizacja rozkłada się na kolejne dni i tygodnie, więc nie każdy dostanie ją tego samego dnia. To jest właśnie powód, dla którego warto sprawdzić ręcznie zamiast czekać.
Skrót, który łatwo przeczytać za mocno
W anglojęzycznym obiegu ta luka bywa podpisywana skrótem “sandbox RCE”, czyli wykonaniem kodu w piaskownicy. Bardzo łatwo odczytać to jako ucieczkę z piaskownicy, a stąd już blisko do wniosku o przejęciu komputera. Warto więc sprawdzić, co mówią same dokumenty.
Baza NVD opisuje skutek jednoznacznie: spreparowana strona HTML pozwala zdalnemu napastnikowi wykonać dowolny kod wewnątrz piaskownicy. Katalog CISA używa dokładnie tego samego sformułowania. NVD podaje przy tym niezmieniony zakres bezpieczeństwa w wektorze oceny. Sam ten znacznik nie jest dowodem na brak ucieczki z piaskownicy, ale zgadza się z jawnym opisem skutku.
Różnica jest konkretna, nie teoretyczna. Piaskownica to osobny, mocno ograniczony proces, w którym Chrome renderuje stronę. Kod, który się w nim wykona, nie dostaje swobodnego dostępu do plików ani do całego systemu. Do wyjścia poza te ograniczenia potrzebny byłby dodatkowy etap, na przykład osobna podatność pozwalająca opuścić piaskownicę. Żaden z dokumentów nie twierdzi, że taki łańcuch zaobserwowano.
I teraz druga strona tej samej monety, bo pojedyncza korekta łatwo zamienia się w rozgrzeszenie. Wewnątrz piaskownicy siedzi zawartość stron, które właśnie oglądasz. Ocena bazowa w NVD to 8,8 na dziesięć i zakłada poważny wpływ na poufność, integralność oraz dostępność zasobów w ocenianym zakresie. Poprawka wyszła, a luka jest wykorzystywana w atakach, więc czas między jednym a drugim biegnie na twoją niekorzyść.
Czym jest pomylenie typów i dlaczego akurat V8
Błąd należy do klasy zwanej pomyleniem typów. Program odkłada w pamięci obiekt jednego rodzaju, a potem sięga po niego tak, jakby był innego rodzaju. Odczytuje wtedy nie to, co trzeba, i w odpowiednio przygotowanej sytuacji pozwala napastnikowi zapisać własne dane w miejscu, w którym nie powinien.
V8 to silnik, który wykonuje JavaScript w Chrome. Każda odwiedzona strona podaje mu kod do uruchomienia. Ocena zawiera warunek interakcji użytkownika i warto wiedzieć, jak mało on znaczy. Wystarczy, że przeglądarka załaduje spreparowaną treść HTML. Nikt nie musi niczego instalować ani świadomie uruchamiać pliku.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Chrome to nie wszystko. Edge, Opera i reszta rodziny
Silnik V8 jest wspólny dla całej rodziny Chromium, więc problem nie kończy się na przeglądarce Google. CISA zapisała to ostrożnie: luka może dotyczyć wielu przeglądarek korzystających z Chromium, i wymieniła Google Chrome, Microsoft Edge oraz Operę.
Sformułowanie jest w trybie przypuszczającym z konkretnego powodu. Każdy producent bierze poprawki z projektu Chromium w swoim własnym tempie i sam ogłasza, kiedy je wydał. Jeżeli używasz Edge’a, Opery, Brave’a albo Vivaldiego, sprawdź numer wydania u swojego producenta, a nie u Google. Zasada jest ta sama co przy Chrome: liczy się to, co faktycznie masz zainstalowane po restarcie.
Dwanaście łatek naraz i jedno zdanie o ataku
Wrześniowe wydanie zamyka dwanaście błędów bezpieczeństwa, a ten wykorzystywany w atakach jest wśród nich jednym z wielu. Zgłosił go 4 sierpnia badacz Salvatore Gulizia, występujący pod pseudonimem Serotav. Google wyceniło zgłoszenie na tysiąc dolarów. Od zgłoszenia do poprawki minął miesiąc, a w dniu jej wydania Google potwierdziło wykorzystywanie exploita.
Dwanaście poprawek w jednym wydaniu to zresztą zwykły rytm tej przeglądarki, a nie sygnał kryzysu. O skali tej roboty pisaliśmy osobno, przy ponad tysiącu błędów bezpieczeństwa domkniętych w Chrome przez własne narzędzia Google’a.
Termin 18 września, który CISA przypisała tej pozycji, nie jest polskim obowiązkiem. Wiąże amerykańskie agencje federalne, a dla wszystkich pozostałych jest darmową oceną pilności, wystawioną przez instytucję mającą wgląd w dane o atakach. Regułę stojącą za tymi terminami rozpisaliśmy przy czterech lukach z sierpniowym terminem.
Podsumowanie
Numer, który trzeba mieć, to 152.0.7977.82, a na Windowsie i macOS równie dobre jest .83. Sprawdzisz go w kilkanaście sekund pod adresem chrome://settings/help, ale poprawka zacznie działać dopiero po restarcie przeglądarki. Sama luka siedzi w silniku V8 i pozwala wykonać kod wewnątrz piaskownicy procesu renderującego, czyli nie oddaje napastnikowi całego komputera. Do wyjścia poza te ograniczenia potrzebny byłby dodatkowy etap i nikt nie twierdzi, że taki łańcuch zaobserwowano. To rozróżnienie działa w obie strony. Odczytanie skrótu “sandbox RCE” jako ucieczki z piaskownicy przesadza, a wyciąganie z tego wniosku, że sprawa jest błaha, przesadza w drugą stronę. Google potwierdziło wykorzystywanie exploita, a poprawka jest do zainstalowania od trzeciego września. Użytkownicy Edge’a, Opery i pozostałych przeglądarek na Chromium mają dokładnie to samo zadanie, tylko numer wydania sprawdzają u swojego producenta.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
