Google заделал в Chrome брешь нулевого дня, которой уже вовсю пользовались
В последнем обновлении браузера Chrome устранена уязвимость нулевого дня, выявленная экспертами Apple и The Citizen Labs. По-видимому, она настолько критична, что Google воздерживается от публикации подробностей. Проблема в том, что хакеры уже вовсю ею пользуются.
Куча и её уязвимости
Google выпустил экстренные обновления для новой уязвимости нулевого дня в браузере Chrome, уже четвёртой с начала этого года.
Критическая уязвимость, получившая название CVE-2023-4863, относится к классу Heap buffer overflow (переполнение буфера кучи) в WebP.
Кучей (Heap) называют структуру данных, с помощью которой реализована динамически распределяемая память приложения. Размер кучи — это размер памяти, выделенный под неё операционной системой.
Уязвимость переполнения буфера на основе кучи возникает, когда программа записывает в буфер памяти, выделенный под кучу, больше данных, чем буфер способен хранить. Переполнение чревато перезаписью смежных ячеек памяти и повреждением данные.
Google перестал быть лидером в российском поиске
В некоторых случаях это также может привести к возможности выполнять произвольный код в уязвимой системе удалённо.
Ошибка возникает, когда программа не способна адекватно проверять размер предоставленных пользователем данных перед копированием их в выделенный из кучи буфер.
Чтобы предотвратить подобное, необходимо реализовывать надлежащую проверку входных данных и границ буфера, а также использовать безопасные для памяти методы программирования, например, использовать языки, которые автоматически управляют памятью.
При помощи картинки. Опять?
Что касается WebP, то это формат растровых изображений, который был создан в Google на замену куда более распространённым форматам — JPEG, PNG и GIF. Помимо анимации и прозрачности он поддерживает сжатие изображения без потери качества.
Как управлять корпоративным контентом и электронными документами: мнение экспертов
Уязвимость связана с использованием сторонней библиотеки, и к ней есть активно используемый эксплойт. Других подробностей Google пока не представил из соображений безопасности пользователей.
«Исходя из того, что речь идёт о переполнении буфера на основе кучи в графическом файле, можно сделать определённые выводы о способах эксплуатации, — говорит директор по информационной безопасности компании SEQ Анастасия Мельникова. — Скорее всего, будет использовано специально подготовленное изображение, которое будет заведомо переполнять буфер памяти в компоненте Chrome, ответственном за обработку WebP. Целью же определённо будет запуск произвольного кода в контексте Chrome с перспективой внедрения вредоносного ПО в подлежащую операционную систему».
«Баг» обнаружили специалисты по кибершпионажу
Любопытно, что информацию об уязвимости в Google предоставили эксперты группы по безопасности, разработкам и архитектуры Apple (Apple — Security Engineering and Architecture, SEAR), а также исследователи The Citizen Lab (при Школе Мунка — подразделении Университета Торонто в Канаде).
Эксперты The Citizen Lab неоднократно обнаруживали уязвимости нулевого дня, которыми пользовались аффилированные со спецслужбами хакеры при узконаправленных шпионских кибератаках.
Не далее как на прошлой неделе Apple объявила об устранении двух уязвимостей нулевого дня уже в своих собственных продуктах. Эти «баги» использовались в цепочке эксплойтов BLASTPASS, которые позволяли устанавливать на iPhones печально знаменитое шпионское ПО NSO Pegasus. В том числе на те смартфоны, на которые были установлены все официальные обновления.
Google запретила россиянам устанавливать и обновлять самый популярный в мире браузер. Но уже найдены лазейки
Россияне больше не могут обновлять Chrome для Android, а также несколько мобильных приложений, через магазин Google Play. Установка браузера тоже невозможна. Пока неясно, где кроется проблема, так как Google отказывается комментировать происходящее. Способы обхода ограничений есть, и один из них – это VPN.
Chrome остался без обновлений
Россияне лишились возможности устанавливать и обновлять браузер Google Chrome на платформе Android, которая тоже принадлежит Google. Первые проблемы с этим начались 9 мая 2022 г., и на момент публикации материала они стали массовыми.
Наиболее актуальная на момент публикации материала стабильная версия Chrome под Android датирована 9 мая 2022 г. и имеет индекс 101.0.4951.61.
Находясь в России или подключаясь к магазину Google Play с российского IP, пользователь лишается возможности обновить не только сам Chrome, но еще и системное приложение Android System Webview. Оно используется для открытия в веб-страниц в других приложениях, например, в почтовых клиентах.
Результат обновления Chrome и Android System Webview с российского IP
Первыми о сбоях обновления сообщили пользователи портала iPhones.ru. Редакция CNews убедилась, что Google действительно блокирует скачивание обновлений на разных версиях Android и под разными провайдерами. Более того, если удалить Chrome и попытаться установить его заново, то ничего не выйдет – на экране снова появится сообщение об ошибке.
Не работает как автоматическое, так и принудительное обновление. В автоматическом режиме и Chrome, и Android System Webview просто числятся в списке приложений, ожидающих апдейта. Если попытаться обновить их вручную, то система выдаст сообщение об ошибке.
Единожды удалив Chrome, установить его через Google Play напрямую не получится
Что немаловажно, все другие приложения Google для Android продолжают обновляться без каких-либо проблем. То же касается и Chrome для iOS – на момент публикации материала в Рунете не было жалоб со стороны пользователей iPhone на невозможность апдейта этого браузера. Настольный Chrome, по крайней мере под Windows, на 13 мая 2022 г. тоже исправно получал необходимые патчи.
Касается всех. Почти
Chrome – это самый популярный браузер в мире, даже если учитывать исключительно настольные ПК и ноутбуки. Появившись в 2008 г., он очень быстро обошел и еще востребованный на тот момент Internet Explorer, и даже Firefox.
Популярность мобильного Chrome в мире.
На Android Chrome впервые появился в феврале 2012 г, спустя три с половиной года с момента запуска мобильной платформы Google. Спустя 10 лет после релиза первой бета-версии Chrome занимает 62,5% рынка браузеров на Android (статистика StatCounter за апрель 2022 г.). Ближайший конкурент – Apple Safari с 25,64%, за ним следует штатный браузер на смартфонах Samsung с долей 5,12%.
В России ситуация схожая – доля Chrome составляет 59,13%. На втором месте Safari (19,99%), на третьем – «Яндекс.браузер» с 9,71%.
Google ничего не делает
Проблема с обновлением Chrome наблюдается на протяжении нескольких дней. Google пока никак не комментирует происходящее и, судя по всему, пока не планирует решать ее. Не исключено, что это один из способов давления на российских пользователей, так как Google примкнула к рядам иностранных компаний, решивших поддержать антироссийские санкции.
На другие приложения Google запрет пока не распространяется
Напомним, что еще в конце марта 2022 г. Google начала вывозить из России сотрудников своего единственного офиса, расположенного в Москве. Они опасались, что деятельность компании в стране вот-вот будет прекращена из-за санкций. Сколько человек покинули страну, остается неизвестным.
Как решить проблему
На момент публикации материала существовало несколько способов обхода проблемы с обновлением Chrome и Android System Webview. Большинство из них требует относительно углубленного пользовательского опыта.
Первый способ подразумевает использование VPN. Редакция CNews убедилась, что при смене IP на любой, отличный от российского, обновление браузера и «смотрелки» Google вновь начинает работать.
VPN — лучший друг россиян
Отечественному железу не хватает «тяжелых» высокопроизводительных систем
CNews Analytics
Второй способ более радикальный – необходимо перейти на любой другой браузер. Редакция CNews удостоверилась в работоспособности обновления обозревателей Vivaldi и «Яндекс.браузер» через Google Play. Этот способ, на деле, является наиболее надежным, поскольку если россияне полностью лишатся доступа к каталогу Play, они всегда смогут скачать дистрибутив нужного браузера с сайта разработчиков. То же работает и непосредственно для Chrome – его дистрибутивы есть на сторонних репозиториях, в том числе российских.
Наконец, третий способ, предложенный и опробованный порталом Rozetked. Он является наиболее сложным из всех, так как подразумевает установку массы сторонних приложений и компонентов, среди которых Trichrome Library и Split APKs Installer. Также здесь тоже потребуется скачивание и установка дистрибутива браузера. Такая связка позволит настроить автоматическое обновление Chrome и не зависеть от очередных санкций Google.
Обязательное обновление Windows 11 запретило запускать браузер Chrome. Как это исправить
Июньское обновление Windows 11 поломало Google Chrome. Популярный браузер просто не запускался, при этом не информируя о каких-либо ошибках. Как выяснилось впоследствии, причиной возникновения проблемы стал конфликт компонентов апдейта с антивирусом Malwarebytes.
Обновление Windows, ломающее Chrome
Установка недавнего пакета обновлений Microsoft Windows 11 может приводить к выходу из строя веб-браузера Chrome на ПК пользователей.
По сообщению Bleeping Computer, пользователи и администраторы массово жалуются на неработоспособность обозревателя корпорации Google после применения патча KB5027231 от 13 июня 2023 г. Апдейт предназначен для Windows 11 версии 22H2, устраняет проблемы безопасности и является обязательным к установке.
«Развернул KB5027231 на куче ПК, и везде поломался Chrome… Последний патч у нас получило около 400 машин, и определенно не все из них подверглись проблеме, возможно, штук 30», – написал пользователь Reddit с никнеймом HighPingofDeath в теме, посвященной последнему вторнику патчей Microsoft.
Chrome на протяжении многих лет остается самым популярным браузером на всех мейнстримных платформах. Согласно данным Statcounter, по состоянию на конец мая 2023 г., размер доли обозревателя Chrome на глобальном рынке браузеров составляла 62,82%.
Пользователи Windows 11 вновь столкнулись с неработоспособностью браузера Chrome после установки очредного обновления
Примечательно то, что попытка запуска Chrome на проблемной машине не приводит к «падению» браузера или выводу на экран сообщений о каких-либо ошибках.
При этом процесс приложения Chrome (chrome.exe) можно наблюдать в «Диспетчере задач» или утилите Process Explorer. Таким образом, как отмечает Bleeping Computer, в действительности браузер работает, но нечто не дает приложению продолжить запуск и отобразить пользовательский интерфейс из-за программного конфликта.
Виновник найден
Одной из «сторон конфликта», как выяснилось, является популярная антивирусная программа Malwarebytes, разработку которой ведет одноименная американская корпорация. Соответственно затрагивает проблема исключительно пользователей этого решения.
Наличие связи между отказом Chrome при установленном патче KB5027231 и работой Malwarebytes подтвердили представители разработчика антивируса на официальном форуме поддержки пользователей. Виновником специалисты компании назвали модуль защиты от эксплойтов.
Удалить апдейт привычным способом непросто
Первой реакцией многих администраторов Windows, столкнувшихся с багом, в том числе упомянутого выше HighPingofDeath, была попытка выполнить откат апдейта KB5027231. Однако сделать привычным для себя способом удалось далеко не каждому.
В частности, такие инструменты как «Автономный установщик обновлений Windows» (WUSA) и «Служба обновления Windows Server» (Windows Server Update Services; WSUS) с этой задачей не справились. Причем WUSA отрапортовала о «катастрофической ошибке» (”catastrophic error”) – факт ее возникновение HighPingofDeath зафиксировал с помощью утилиты «Просмотр событий» (Event Viewer).
Как решить проблему
Пользователям Malwarebytes, испытывающим сложности с запуском Chrome, разработчики рекомендуют для начала назначить разработку Google браузером по умолчанию в Windows 11.
Отключение защиты Chrome в настройках антивируса Malwarebytes
Евгений Вирцер, «СТИ»: ЦОД это такая же часть базовой инфраструктуры, как электричество, дороги или аэропорты
Импортонезависимость
Следующим шагом, если предыдущий не помог, следует временно отключить защиту приложения Chrome в настройках антивируса – пока не выйдет официальное исправление. Сделать это можно перейдя в «Настройки»->«Безопасность»->«Управление защищенными приложениями» центра управления Malwarebytes и деактивировав переключатель “Google Chrome (and plug-ins)”.
Некоторые из пользователей отмечают, что эти временные меры в их случае не сработали, однако помогло полное отключение модуля защиты от эксплойтов.
Конфликты антивирусов и браузеров
Конфликты компонентов Windows с антивирусными решениями, в результате которых один или несколько браузеров оказывались неработоспособными, случались и раньше.
Так, в сентябре 2022 г. CNews писал о том, что фирменный антивирус Microsoft, встроенный в операционную систему Windows, принял приложения на базе фреймворка Electron и Chromium, за вымогательское ПО жестокой киберпреступной группировки Hive. Опасность оказалась мнимой, а странное поведение Defender вызвало неудачное обновление определений угроз. Microsoft решила проблему очередным обновлением баз Defender, но уже после того, как вызвала переполох среди пользователей Windows в разгар выходных.
В апреле 2022 г. после очередного обновления Windows 10 и Windows 11 у некоторых пользователей перестали запускаться Chrome, Microsoft Edge и Mozilla Firefox. Причина – конфликт Windows с антивирусами словацкой компании Eset. В перечень «проблемных» программных продуктов попали Eset Smart Security Premium и Eset Internet Security.
Последняя версия Chrome не работает на Windows 7, 8 и 8.1 — Google прекратила поддержку старых ОС
С состоявшимся на днях выпуском Chrome 110 команда разработчиков браузера прекратила поддержку и дальнейшее обновление программы на устройствах под управлением операционных систем Windows 7/8/8.1. Ранее уже сама Microsoft перестала поддерживать упомянутые версии ОС, а теперь вслед за ней такое решение приняла и Google.
Источник изображения: Firmbee.com/unsplash.com
Это первая версия браузера Chrome, требующая для установки Windows 10 или Windows 11. Cтарые версии браузера продолжат работу на устройствах с устаревшими Windows, но не будут получать обновлений, что может поставить под угрозу безопасность компьютера.
Microsoft не раскрывает точных данных, сколько людей до сих пор используют Windows 7. По оценкам сторонних аналитиков, в 2021 году число таких пользователей было на уровне 100 млн. Есть все основания полагать, что в настоящий момент данный показатель существенно ниже.
Пользователи устаревшего ПО будут вынуждены или обновлять железо старых компьютеров для установки Windows 11, или покупать новый ПК для того, чтобы получать обновления безопасности и полноценную защиту от цифровых угроз. Известно, что Microsoft планирует полностью прекратить поддержку Windows 10 в октябре 2025 года и уже полностью прекратила выпуск обновлений для некоторых редакций этой платформы.
Источник: