Google помилково опублікувала код експлойта для невиправленої критичної уразливості у платформі Chromium, на якій базуються популярні браузери, зокрема Chrome та Microsoft Edge. Потенційно ця помилка впливає на мільйони користувачів по всьому світу.
Про це розповідає ProIT
Небезпечна уразливість у Browser Fetch
Виявлена проблема пов’язана з інтерфейсом Browser Fetch, який відповідає за фонове завантаження великих файлів і відео. Зловмисники можуть скористатися експлойтом для організації стійкого з’єднання з пристроєм жертви, отримуючи змогу відстежувати дії користувача у браузері. Крім того, через цю уразливість пристрій можна використовувати як проксі-сервер для доступу до інших сайтів або для запуску DDoS-атак. Особливо небезпечно, що з’єднання може зберігатися або автоматично відновлюватися навіть після перезапуску браузера чи перезавантаження пристрою.
Можливості експлойта та реакція Google
Дослідниця Ліра Ребейн, яка першою виявила цю проблему і повідомила про неї Google ще у 2022 році, наголошує, що для активації експлойта достатньо відвідати шкідливий сайт. У такому випадку пристрій користувача може опинитися у складі обмеженого ботнету, що дозволяє анонімно переглядати сайти, проксірувати трафік чи здійснювати кібератаки.
Дослідниця зазначила, що використовувати опублікований код «досить просто», хоча для створення великої мережі заражених пристроїв будуть потрібні додаткові зусилля.
У системі Chromium цій уразливості надано високий пріоритет важливості. Проблема залишалася невідомою громадськості майже чотири роки, але нещодавно матеріали щодо неї разом із кодом експлойта з’явилися у відкритому трекері помилок Chromium. Хоча Google оперативно видалила інформацію, копії залишилися в архівах. Зараз компанія підтвердила, що працює над вирішенням цієї серйозної проблеми.