RCE-уязвимость в Google Chrome исправлять не планируют

[alexsf]

Guests are not allowed to view images in posts, please You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Пожелавший остаться неизвестным независимый исследователь обнаружил опасный баг в браузере Chrome и обратился за помощью к специалистам компании Beyond Security, которая представляет интересы ИБ-специалистов в таких ситуациях в рамках программы SecuriTeam Secure Disclosure. Сотрудники Beyond Security связались с инженерами Google и сообщили о проблеме, однако You are not allowed to view links. Register or Login, представители Google ответили, что не планируют устранять опасную RCE-уязвимость, так как она не представляет опасности для новейших версий браузера (Chrome 60).

После этого исследователи из Beyond Security с чистой совестью смогли You are not allowed to view links. Register or Login на своем сайте, а также обнародовать proof-of-concept версию эксплоита. Специалисты объясняют, что уязвимость была обнаружена в компоненте Turbofan, который используется для оптимизации JavaScript-кода. Эксплуатация проблемы подразумевает, что пользователя нужно заманить на подконтрольный злоумышленнику сайт, на котором размещается вредоносный JavaScript. Успешная атака ведет к выполнению произвольного кода в Chrome.

Стоит сказать, что в настоящее время Google Chrome принадлежит около 59% всего рынка браузеров. Но согласно данным аналитической фирмы You are not allowed to view links. Register or Login, «свежий» Chrome 60  установлен лишь у половины пользователей, и установок Chrome 59 по-прежнему насчитывается очень много. Также из отчета Beyond Security не совсем ясно, как обстоят дела у Chromium и других браузеров, которые тоже используют V8 Turbofan в работе.

You are not allowed to view links. Register or Login