تصحيح كروم يهبط كإشارة تحذير لكل متصفح على الإنترنت
دفعت Google إصلاحًا بالغ الأهمية لقناة Stable في كروم على أجهزة الكمبيوتر المكتبية، والعبرة الحقيقية بسيطة: ثغرات المتصفح لا تكون غير ضارة إلا إلى أن يظهر تسلسل استغلال يمكن الوصول إليه.
يتم دفع مستخدمي Chrome نحو إصدار مكتبي جديد يسد عدة ثغرات أمنية عبر أنظمة Windows وmacOS وLinux. ويُعرض التحديث على أنه بالغ الأهمية، والمخاطرة الرئيسية مألوفة لكنها خطيرة: إذا كانت الثغرة قابلة للوصول وتم ربطها بشكل صحيح، فقد يتمكن المهاجم من تنفيذ شيفرة عشوائية على النظام المتأثر. هذا لا يعني تأكيد الاستغلال. لكنه يعني أن نافذة التصحيح مهمة.
حقائق سريعة
- انتقل Chrome على سطح المكتب إلى الإصدار 148.0.7778.178/179 على Windows وmacOS، وإلى 148.0.7778.178 على Linux.
- يعالج التحديث عدة ثغرات في قناة Stable.
- المخاطرة المبلغ عنها هي تنفيذ شيفرة عن بُعد مشروط، وليس استغلالًا نشطًا مؤكدًا.
- عادةً ما يُحدّث Chrome في الخلفية، لكن إعادة التشغيل تكون مطلوبة غالبًا قبل أن يسري الإصلاح.
- تعتمد أمنية المتصفح على كلٍّ من سرعة التصحيح وضوابط الاحتواء مثل العزل في صندوق حماية وعزل المواقع.
لماذا يهم هذا التصحيح
تجلس المتصفحات عند حافة الشبكة وتستقبل محتوى غير موثوق طوال اليوم. وهذا يجعلها أهدافًا عالية القيمة حتى عندما يكون المستخدمون حذرين. في نموذج أمان Chromium، لا تتحول الثغرة في المتصفح تلقائيًا إلى استيلاء كامل على الجهاز، لأن صندوق الحماية وSite Isolation مصممان للحد من الضرر. لكن هذه الضوابط هي دفاع متعدد الطبقات، وليست سحرًا. إذا أمكن الوصول إلى الثغرة من محتوى ويب، أو إذا استطاع المهاجم الجمع بين عدة نقاط ضعف، فإن المخاطر ترتفع بسرعة.
كما أن إصدارات الأمان في Chrome تذكير بأن التصحيح سباق تشغيلي. تُطرح تحديثات قناة Stable على مراحل، ورقم الإصدار هو ما ينبغي للمدافعين التحقق منه. الجهاز الذي لم ينتقل بعد إلى الإصدار المصحح قد يكون ببساطة ينتظر دوره في عملية الطرح، أو قد يكون عالقًا خلف سياسة تحديث، أو مطالبة بإعادة التشغيل، أو تأخير طبيعي من المستخدم. بالنسبة إلى الأساطيل المُدارة، هذا التمييز مهم.
وهناك سبب آخر يجعل إصلاحات المتصفح تجذب الاهتمام الفوري: بمجرد نشر التصحيح، تصبح الإصدارات القديمة أسهل في الدراسة. غالبًا ما يبحث المهاجمون عن مسار الشيفرة الذي تغير، ثم يعودون إلى الخلف لفهم ما الذي تعطل وما إذا كانت الأنظمة غير المصححة لا تزال قابلة للوصول. لذلك فإن الرد الأكثر أمانًا يكون غالبًا الأقل إثارة: تحقق من الإصدار المثبت، وأعد تشغيل المتصفح، وأزل التأخير بين الإفصاح والنشر.
حتى وقت كتابة هذا التقرير، لا تظهر المعلومات العامة أن تحديث Chrome هذا يعكس استغلالًا نشطًا. والأدلة المتاحة تدعم تحليلًا قائمًا على التصحيح والتعرض، لا ادعاءً حاسمًا بوجود اختراق فعلي في العالم الحقيقي.
ما الذي ينبغي للمدافعين استخلاصه من ذلك
الدرس الأوسع هو أن أمن المتصفح يُكسب بالسرعة والانضباط. فالسرعة تعني إيصال الإصدار المصحح إلى نقاط النهاية سريعًا. أما الانضباط فيعني افتراض أن المتصفح سيستمر في حمل ثغرات قابلة للاستغلال، وتصميم الضوابط وفقًا لذلك: التحديثات التلقائية، إلزام إعادة التشغيل، التصفح بأقل قدر من الامتيازات، والاحتواء متعدد الطبقات. إن أحدث خطوة من Chrome هي أقل عن ثغرة واحدة وأكثر تذكيرًا بأن الويب الحديث سطح هجوم لا ينام حقًا.
TECHCROOK
مفتاح أمان عتادي: يضيف مفتاح USB/NFC صغير حماية تسجيل دخول مقاومة للتصيد الإلكتروني للبريد الإلكتروني، ومديري كلمات المرور، والحسابات الأخرى التي تستخدمها في المتصفح. وهو رفيق عملي للتحديثات التلقائية، والانضباط في إعادة التشغيل، والتصفح بأقل قدر من الامتيازات، خاصة على الأنظمة العملية والشخصية التي تتعامل مع حسابات حساسة.
WIKICROOK
- قناة Stable: مسار الإصدار الرئيسي لكروم المستخدم النهائي، ويُستخدم للتحديثات الأمنية وتحديثات الصيانة المنتظمة.
- تنفيذ شيفرة عشوائية: حالة قد تسمح فيها ثغرة للمهاجم بتشغيل شيفرة من اختياره على نظام الهدف.
- صندوق الحماية: طبقة احتواء تحد من ما يمكن لعملية متصفح مخترقة أن تفعله.
- عزل المواقع: تصميم أمني في Chromium يفصل المواقع إلى عمليات مختلفة لتقليل التأثير عبر المواقع.
- استخدام بعد التحرير: خلل في أمان الذاكرة يستمر فيه البرنامج في استخدام الذاكرة بعد تحريرها، ما يخلق غالبًا خطرًا أمنيًا خطيرًا.
