גרסאות ישנות של דפדפן Chrome חשופות להרצת קוד מרחוק
מאת: מערכת Telecom News, 18.8.17, 01:09

בנוסף, הותקפו חשבונות של מפתחי הרחבות עבור דפדפן Chrome.

דווח, שגרסאות מוקדמות יותר מהגרסה הנוכחית (גרסה 60) של הדפדפן חשופות להרצת קוד מרחוק (RCE).

הפגיעות קיימת באחד הרכיבים של הדפדפן, שתפקידו לבצע אופטימיזציה לקוד Javascript. ניצול הפגיעות אפשרי אם המשתמש ניגש לאתר אינטרנט הנשלט ע"י התוקף, לדוגמה: בתקיפה מסוג Watering Hole.
 
עפ"י הדיווח, גוגל איננה מתכוונת לתקן את הפגיעות משום שהיא אינה פועלת על הגרסה העדכנית של הדפדפן, שבה משקיעה החברה את מירב מאמצי האבטחה שלה.
 
מומלץ לגורמים פרטיים לעדכן בהקדם לגרסה האחרונה של הדפדפן, גרסה 60, שאיננה חשופה לפגיעות זו, או לוודא, שהדפדפן שלהם כבר עודכן אוטומטית לגרסה זו באמצעות גישה לתפריט "עזרה" -> "אודות גוגל כרום".
 
לגורמים ארגוניים מומלץ לבחון את הגרסה האחרונה במערכותיהם, ואז לעדכן את עמדות המשתמשים בהקדם האפשרי.

בנוסף דווח, שהותקפו חשבונות של מפתחי הרחבות עבור דפדפן .Chrome
 
תוקפים השתמשו במתקפות Phishing כדי להשיג גישה לחשבונות של מפתחי הרחבות לדפדפן .Chrome התקיפה אפשרה לתוקפים לטעון קוד משלהם להרחבות, שמשתמשים מתקינים מהחנות המקוונת שלChrome . להרחבות הללו יש כ-4.8 מיליון משתמשים במצטבר.

התקיפה נוצלה בעיקר כדי להשיג נתוני משתמש לשירות הענן Cloudflare, להצגת מודעות שונות המייצרות תשלום כספי לתוקפים, ולהצגת הודעות המפנות המשתמש לאתרים שונים המייצרים עבור התוקפים הכנסה עבור ההפניה של התעבורה אליהם.
 
8 ההרחבות שנפגעו הן:

 Chrometana 1.1.3 
3.12.3 Infinity New Tab
Web Paint 1.2.1
Social Fixer 20.1.1
TouchVPN
Betternet VPN
Copyfish
Web Developer
 
מתווה התקיפה:
התוקפים השתמשו, כאמור, בתקיפת Phishing כדי להשיג גישה לחשבונות ה-Google של מפתח בחברה האחראית לכל אחת מהרחבות אלו. בעזרת גישה לחשבון המפתח, העלו ל-Google Web Store גרסאות זדוניות של הרחבות לגיטימיות.
 
עפ"י ההערכה, כדי לעקוף את מנגנוני הגילוי של Google, התוקפים כתבו קוד, שבדק, שההרחבה הלגיטימית הותקנה, ורק בחלוף 10 דקות הורידו את הקוד הזדוני.
 
לכן, במידה והותקנו אחת או יותר מן ההרחבות הנ"ל, מומלץ להסירן בהקדם, או להתקין גרסה עדכנית של ההרחבה, כזו שהועלתה ל-Google Web Store לאחר פרסום התקיפה.