Project Zero to jednostka działająca w Google, która zdążyła już zasłynąć z odnalezienia paru podatności w systemie Windows. W tym tygodniu badacze wskazali kolejną. Żeby było ciekawiej, tym razem towarzyszy jej kolejna luka zero-day w Chrome. Przeglądarka została już załatana (CVE-2019-5786), a Google prosi użytkowników o jej aktualizację do wersji 72.0.3626.121 lub wyższej.
Jak twierdzi szef bezpieczeństwa Chrome, Justin Schuh, exploit ten jest groźniejszy od poprzednich. Wcześniej pierwszym celem ataku padał Flash, a tym razem exploitowany jest bezpośrednio kod Chrome. Ma to znaczenie m.in. dlatego, że chociaż Google wypuściło łatkę, to wymagane jest ponowne uruchomienie przeglądarki. Użytkownik musi więc wykazać minimalną aktywność i zaktualizować Chrome, bo w przeciwnym razie pozostanie podatny na atak.
Past 0days targeted Chrome by using Flash as the first exploit in the chain. Because Flash is a plugin component, we could update it separately, and once updated Chrome would silently switch to the fixed Flash, without a browser restart or any user intervention. [2/3]
— Justin Schuh 🗑 (@justinschuh) 7 marca 2019
Jak wspomnieliśmy, z podatnością w Chrome koresponduje podatność w Windows 7. Drugi exploit (znaleziony w systemie) związany jest z jądrem win32k.sys i atakiem polegającym na eskalacji uprawnień. Google twierdzi, że podatność najpewniej występuje tylko w Windows 7, jako że Microsoft ulepszył zabezpieczenia w nowszych systemach. Co więcej, badaczom udało się zaimplementować exploita tylko w 32-bitowej wersji Siódemki.
Microsoft został o wszystkim powiadomiony przez badaczy z Google, zdaniem których podatność jest (była?) aktywnie wykorzystywana. Prace nad łatką już ponoć trwają, ale nie wiadomo, kiedy zostanie wypuszczona - jeśli Gigant się uwinie, to być może w najbliższy Patch Tuesday, który wypada już za 4 dni. Poza tym Google zaleca użytkownikom zaktualizowanie systemu do Windows 10, by uniknąć ataku. Cóż, nie pozostaje nam nic innego, jak się pod tą rekomendacją podpisać! Warto jeszcze przypomnieć, że po 14 stycznia 2020 roku skończą się aktualizacje zabezpieczeń dla Windows 7 i w razie wykrycia podobnych luk pomoc już nie nadejdzie.
