Свежая сборка Chrome закрывает 247 уязвимостей, четыре из них Google относит к критическому уровню. Обновление вышло для Linux под номером 155.0.8059.39, для Windows и macOS - 155.0.8059.39/.40. Удалённый злоумышленник может воспользоваться частью этих проблем, если пользователь откроет подготовленную страницу или перейдёт по ссылке. Разброс последствий широкий: от подмены содержимого окна и утечки данных до выполнения чужого кода на машине жертвы. Пострадать способны и домашние компьютеры, и рабочие станции в корпоративной сети, где браузер открыт целый день.
Детали уязвимостей
Все четыре критические уязвимости принадлежат к классу "использование после освобождения" (use after free). Так называют ошибку, при которой программа обращается к участку памяти, уже возвращённому системе. Злоумышленник способен записать туда свои данные и повлиять на работу браузера. Проблемы такого рода затрагивают разные узлы: Chromecast, основной процесс Browser, механизм навигации и компонент Track. Три находки сделал исследователь Xinyang Ge из компании Anthropic, причём часть работы он вёл с помощью ИИ-ассистента Claude. Четвёртую критическую ошибку обнаружили внутри Google.
Основная масса исправлений приходится на высокий и средний уровни. Среди них неинициализированные ресурсы и выход за границы буфера в графических подсистемах ANGLE (движок ускоренной отрисовки в Chrome), состояние гонки при работе со шрифтами, неполная очистка данных в автосохранении форм, ошибки авторизации в адресной строке Omnibox и в инструментах разработчика DevTools, утечки сведений через просмотр PDF и обработку медиа. Попутно закрыты путаница типов в движке JavaScript V8, целочисленное переполнение в WebGL, проблемы в WebRTC и WebAudio, слабая проверка входных данных в расширениях и модуле Bluetooth, а также ошибки в подсистеме паролей и платежей. Отдельно в бюллетене упомянута ошибка авторизации в Chrome для iOS, хотя производитель называет уязвимыми только настольные сборки.
Часть дефектов ведёт к межсайтовому скриптингу, то есть к исполнению чужого сценария на открытой странице. Другие открывают путь к отказу в обслуживании, повышению привилегий, обходу ограничений безопасности, раскрытию конфиденциальной информации, подмене данных и подмене интерфейса. К тому же неинициализированные ресурсы и переполнения буфера сами по себе опасны: они часто становятся ступенькой к более серьёзной атаке, когда злоумышленник сначала получает сбой, а затем превращает его в управляемый сценарий.
Стоит понимать масштаб. Chrome занимает первое место среди настольных браузеров, и почти каждый такой выпуск с сотнями правок касается огромной аудитории. Внешние исследователи получили за находки вознаграждения: до пяти тысяч долларов за ошибку в изоляции сайтов, по две и по одной тысяче за проблемы в ANGLE, V8, Omnibox, автозаполнении и других модулях. Немалая доля исправлений сделана силами самой Google, а несколько уязвимостей затронули сторонние библиотеки, которые используют и другие проекты. Из-за этого компания держит детали закрытыми до тех пор, пока большинство пользователей не установит исправление. Данных о том, что эти уязвимости уже применяли в реальных атаках, в бюллетене нет.
Заметная деталь: среди авторов находок всё чаще значатся не только люди, но и системы автоматического анализа кода. Исследователь из Anthropic работал с ИИ-помощником, в списке есть и находка от инструмента OpenAI Codex Security. Такой подход ускоряет поиск ошибок, но одновременно означает, что поток исправлений в браузерах будет расти, а окно между обнаружением уязвимости и её закрытием станет короче. Для защитников это одновременно и хорошая новость, и дополнительная нагрузка на процессы управления исправлениями.
Чтобы закрыть уязвимости, нужно обновиться до Chrome 155.0.8059.39 на Linux либо до 155.0.8059.39/.40 на Windows и macOS. Браузер обычно скачивает обновление сам, но установка завершается только после перезапуска, поэтому одного фонового обновления мало. Проверить текущую версию и запустить установку можно на служебной странице chrome://settings/help. В компаниях, где браузер разворачивают централизованно, обновление стоит распространить через системы управления конфигурациями, не дожидаясь, пока сотрудники перезапустят окно вручную. Пользователям Chrome для iOS разумно проверить свежесть приложения в магазине, поскольку ошибка авторизации в мобильной версии тоже исправлена.
Практика последних выпусков показывает: больше всего проблем дают ошибки работы с памятью, а не логические просчёты в интерфейсе. Переполнения буфера, чтение освобождённых участков и неинициализированные ресурсы встречаются в графических и медийных подсистемах постоянно, потому что код там сложный и обрабатывает внешние данные. Пока такие ошибки остаются самым частым источником уязвимостей в браузерах, регулярное обновление и перезапуск остаются базовой мерой защиты. Промедление с установкой исправлений увеличивает срок, в течение которого рабочая машина остаётся уязвимой, а обнаруженные детали рано или поздно становятся доступны и атакующим.
Ссылки
