Google випустила Chrome 154: закрито понад 100 вразливостей, з них 11 критичних

Нова версія веббраузера Google Chrome 154 (для Windows, macOS та Linux) містить виправлення для 108 виявлених проблем безпеки. Серед них ідентифіковано 11 критичних уразливостей, які могли б бути використані для несанкціонованого доступу або порушення цілісності даних. За інформацією компанії, на момент випуску оновлення, жодна з цих вразливостей не була активно використана зловмисниками.

Значну частину виявлених недоліків (76) було знайдено внутрішніми командами Google. Інші 32 вразливості були ідентифіковані зовнішніми дослідниками в межах програми Bug Bounty, за що Google виплатила їм винагороди на загальну суму 18 000 доларів США. Найдорожча з них, пов'язана з бібліотекою ANGLE, принесла дослідникам 5000 доларів.

Окрім критичних, оновлення усунуло 25 вразливостей високого ризику, 47 — середнього та 25 — низького. Найбільш поширеними типами проблем стали помилки use-after-free, що стосуються керування пам'яттю, а також недоліки, пов'язані з неправильним відображенням інтерфейсу та авторизацією. Виправлення торкнулися не лише WebGL, а й GPU-процесу, ServiceWorker та інших компонентів браузера.

Важливим доповненням у Chrome 154 є зміна поведінки браузера при відкритті незашифрованих HTTP-сайтів. Тепер функція "Запитати перед HTTP" увімкнена за замовчуванням, що вимагає підтвердження користувача перед переходом на такі ресурси. Це спрямовано на підвищення безпеки та запобігання випадковому доступу до потенційно небезпечних вебсторінок, які не використовують шифрування HTTPS.

Google традиційно обмежує публікацію детальної технічної інформації про усунені вразливості. Це дозволяє забезпечити додатковий час для більшості користувачів на оновлення своїх браузерів, перш ніж зловмисники зможуть розробити експлойти на основі цієї інформації. Такий підхід мінімізує ризики експлуатації виправлених недоліків.