谷歌发布影响数百万人的 Chromium 漏洞代码

Google 周三采取了有争议的措施，针对其 Chromium 浏览器代码库中存在的一个未修补的严重漏洞发布了利用代码。此披露对依赖 Chrome、Microsoft Edge 以及基于 Chromium 平台构建的众多其他浏览器的数百万个人构成了重大安全威胁。针对未修复的缺陷发布概念验证代码的决定在网络安全社区内引发了关于负责任的披露实践以及透明度和用户安全之间的平衡的大量辩论。

该漏洞专门针对 Browser Fetch 编程接口，这是一种基本的 Web 标准，旨在促进在后台无缝下载大型文件（例如扩展视频和大量数据包），而不会中断用户体验。恶意行为者可以利用此漏洞来建立持久连接，从而能够广泛监视用户的浏览模式和活动日志。除了监视功能之外，攻击者还可以将受感染的浏览器重新用作访问受限内容的代理，掩盖其真实位置和身份，同时针对目标基础设施发起毁灭性的拒绝服务攻击。

这些恶意连接的持续存在代表了此漏洞的一个特别令人担忧的方面。根据特定的浏览器实现，这些连接要么自动重新建立，要么即使在浏览器应用程序关闭或底层设备经历完整的系统重新启动后仍保持持续活动状态。这意味着一旦设备受到损害，攻击者就会通过自动重新连接机制维持其非法访问，从而创建一个持久的后门，该后门可以在标准用户启动的关闭程序中幸存下来。

这个未修复的漏洞在长达 29 个月的时间里仍未得到解决，并且在没有永久性补丁的情况下仍然存在。在此延长的漏洞窗口期间，毫无戒心的用户访问的任何网站都可能利用此缺陷。攻击面非常广泛，因为用户没有实际的方法来识别哪些网站包含试图利用此漏洞的恶意代码。这种普遍的可访问性意味着即使是信誉良好的网站也可能会因各种攻击媒介而受到损害，从而在不知不觉中向访问者提供恶意代码。

成功利用后，此漏洞本质上会将受感染的设备转变为有限的僵尸网络节点，即一台受感染的计算机，在所有者不知情或不同意的情况下悄悄参与更大的受控设备网络。然而，攻击能力受到网络浏览器可以合法完成的任务的限制。攻击者可以引导受感染的浏览器访问恶意网站、获取用户凭据、为其他试图隐藏其活动的威胁行为者启用匿名代理浏览，并通过向指定目标注入来自数千名不知情参与者的流量来协调协调DDoS 攻击。

广泛利用的影响确实令人担忧。坚定的威胁参与者可能会招募数千甚至数百万台设备进入其僵尸网络基础设施。每个受感染的浏览器都会在不知情的情况下成为大规模攻击网络中的步兵。虽然单个浏览器级攻击的范围有限，但数百万台协调设备的总体影响可能会促进针对关键基础设施、金融系统和基本服务的毁灭性攻击。攻击者实质上获得了一支廉价、可扩展的受损资源大军。

也许最令人不安的是公认的升级途径。安全研究人员推测，一旦攻击者在大量设备上成功建立这种基于浏览器的后门，他们就可以利用完全独立、不相关的漏洞来突破浏览器沙箱并获得完整的系统级访问权限。这种两阶段的攻击方法将允许攻击者将其有限的浏览器级危害转化为完全的设备接管。只要主要漏洞仍未修补并且更广泛的系统中存在其他可利用的漏洞，这种升级攻击的机会之窗就存在。

Chromium 平台在现代浏览器生态系统中的普遍存在，潜在影响呈指数级放大。除了 Google 的 Chrome 浏览器之外，许多其他浏览器（包括 Microsoft Edge、Opera、Brave 和许多面向企业的浏览器）都依赖于 Chromium 代码库。这意味着核心代码库中的单个漏洞可能会影响所有这些不同浏览器实现的用户。共享代码库创建了一个统一的故障点，影响着全球庞大的用户群体。

Google 决定发布针对未修补漏洞的利用代码，这在安全社区内造成了严重的紧张局势。一些人认为，公开披露迫使制造商和维护人员优先考虑修复并加速安全修补过程。其他人则认为，在用户获得可用的保护补丁之前发布有效的漏洞利用代码会大大增加广泛滥用的可能性。该公司采用这种披露方法的理由，以及在所有受影响平台上开发和部署保护措施的时间表，仍然是安全专业人士密切关注和讨论的主题。

用户目前仍然容易受到攻击，除非他们的特定浏览器和版本已使用保护补丁进行更新。然而，浏览器更新跨不同平台、制造商和用户群的分布式性质意味着全面保护可能需要更长的时间。一些使用旧设备、未更新系统或企业管理设备的用户可能会在相当长的时间内仍然容易受到攻击。这会创建一个持续的暴露窗口，在此期间，机会主义攻击者可以主动利用此漏洞来破坏设备并将其招募到僵尸网络中。