Google випускає код експлойту Chromium, який вражає мільйони

У середу

Google зробив суперечливий крок, опублікувавши код експлойту для критичної невиправленої вразливості в кодовій базі браузера Chromium. Це розголошення створює серйозну загрозу безпеці для мільйонів людей, які покладаються на Chrome, Microsoft Edge та численні інші браузери, створені на платформі Chromium. Рішення випустити код підтвердження концепції для невиправленої вади викликало значні дебати в спільноті кібербезпеки щодо відповідальних практик розкриття інформації та балансу між прозорістю та безпекою користувачів.

Ця вразливість спрямована саме на програмний інтерфейс Browser Fetch, фундаментальний веб-стандарт, призначений для безперебійного завантаження великих файлів, таких як розширені відео та значні пакети даних, у фоновому режимі без переривання взаємодії з користувачем. Зловмисники можуть використати цей експлойт для встановлення постійних з’єднань, які дозволяють ретельно відстежувати шаблони веб-перегляду та журнали активності користувача. Окрім можливостей стеження, зловмисники можуть використовувати скомпрометовані веб-переглядачі як проксі-сервери для доступу до обмеженого вмісту, маскуючи своє справжнє місцезнаходження та особу, одночасно запускаючи нищівні атаки на відмову в обслуговуванні проти цільової інфраструктури.

Стійкість цих зловмисних з’єднань є особливо тривожним аспектом цієї вразливості. Залежно від конкретної реалізації веб-переглядача ці підключення або автоматично відновлюються, або залишаються безперервно активними навіть після закриття програми браузера або повного перезавантаження основного пристрою. Це означає, що коли пристрій скомпрометовано, зловмисник підтримує його незаконний доступ за допомогою механізмів автоматичного повторного підключення, створюючи постійний бекдор, який витримує стандартні процедури вимкнення, ініційовані користувачем.

Невиправлена вразливість залишалася невирішеною протягом приголомшливих 29 місяців і залишається без постійного виправлення. Протягом цього розширеного вікна вразливості будь-який веб-сайт, який відвідує нічого не підозрюючи користувач, потенційно може використати цю ваду. Поверхня атаки надзвичайно широка, оскільки користувачі не мають практичного способу визначити, на яких веб-сайтах міститься шкідливий код, який намагається використати цю вразливість. Ця універсальна доступність означає, що навіть авторитетні веб-сайти можуть бути скомпрометовані через різні вектори атак, несвідомо надсилаючи шкідливий код своїм відвідувачам.

Після успішного використання ця вразливість по суті перетворює інфікований пристрій на обмежений вузол ботнету — скомпрометований комп’ютер, який мовчки бере участь у великій мережі контрольованих пристроїв без відома чи згоди власника. Однак можливості атаки обмежені тим, що веб-браузер може законно виконати. Зловмисники можуть спрямовувати скомпрометований веб-переглядач на відвідування зловмисних веб-сайтів, збирати облікові дані користувача, увімкнути анонімний перегляд проксі-серверів для інших суб’єктів загрози, які прагнуть приховати свою діяльність, і організовувати скоординовані DDoS-атаки на визначені цілі, переповнюючи їх трафіком від тисяч невідомих учасників.

Наслідки широкого використання справді викликають занепокоєння. Рішучий загрозливий суб’єкт потенційно може залучити тисячі або навіть мільйони пристроїв до своєї ботнет-інфраструктури. Кожен скомпрометований браузер стає мимовільним солдатом у масованій мережі атак. Хоча окремі атаки на рівні браузера обмежені за обсягом, сукупний ефект мільйонів скоординованих пристроїв може сприяти руйнівним атакам на критичну інфраструктуру, фінансові системи та основні служби. Зловмисник, по суті, отримує дешеву, масштабовану армію скомпрометованих ресурсів.

Мабуть, найбільше непокоїть визнаний шлях до ескалації. Дослідники безпеки припустили, що як тільки зловмисник успішно встановлює цей бекдор на основі веб-переглядача на великій кількості пристроїв, він може використовувати абсолютно окрему, непов’язану вразливість, щоб вийти з пісочниці браузера та отримати повний доступ на системному рівні. Цей підхід до двоетапної атаки дозволить зловмисникам перетворити свій обмежений компромет на рівні браузера на повне захоплення пристрою. Вікно можливостей для такої ескалаційної атаки існує до тих пір, поки основна вразливість залишається невиправленою, і поки в ширшій системі існують інші вразливості, які можна використовувати.

Повсюдне поширення платформи Chromium в екосистемі сучасного веб-переглядача експоненціально посилює потенційний вплив. Окрім веб-переглядача Google Chrome, багато інших веб-переглядачів, зокрема Microsoft Edge, Opera, Brave та численні веб-переглядачі, орієнтовані на підприємства, покладаються на кодову базу Chromium. Це означає, що одна вразливість у базовій кодовій базі потенційно може вплинути на користувачів у всіх цих різних реалізаціях браузера. Спільна кодова база створює єдину точку збою, що впливає на величезну кількість користувачів у всьому світі.

Рішення Google опублікувати код експлойту для невиправленої вразливості створило значну напругу в спільноті безпеки. Деякі стверджують, що публічне оприлюднення змушує виробників і супроводжувачів визначати пріоритетність виправлень і прискорює процес встановлення виправлень безпеки. Інші стверджують, що випуск робочого коду експлойта до того, як користувачі отримають доступні захисні патчі, різко підвищує ймовірність широкого зловживання. Обґрунтування компанії для такого підходу до розкриття інформації, а також графік розробки та впровадження захисних заходів на всіх уражених платформах залишаються предметом ретельного вивчення та обговорення серед спеціалістів із безпеки.

Наразі користувачі залишаються вразливими, якщо їх веб-переглядач і версію не оновлено захисним патчем. Однак розподілений характер оновлень веб-переглядача на різних платформах, виробниках і групах користувачів означає, що повний захист, ймовірно, вимагатиме тривалого часу. Деякі користувачі зі старими пристроями, неоновленими системами або корпоративними пристроями можуть залишатися вразливими значно довше. Це створює постійне вікно впливу, протягом якого опортуністичні зловмисники можуть активно використовувати цю вразливість, щоб скомпрометувати пристрої та залучити їх до мереж ботнетів.