Google ينشر كود exploit لثغرة غير مصححة في Chromium

Google نشر كود exploit لثغرة غير مصححة في Chromium، مما يعرض ملايين المستخدمين من Chrome وMicrosoft Edge وBrave وOpera وVivaldi وArc وغيرها من Chromium-based browsers لخطر يقول باحثو الأمان إنه كان يجب أن يظل خاصًا حتى يصبح التصحيح جاهزًا. ذكرت Ars Technica أن الثغرة تؤثر على واجهة Browser Fetch ويمكن استغلالها من قبل موقع ويب ضار للحفاظ على اتصال service worker دائم حتى بعد إعادة تشغيل browser أو الجهاز.

هذا يرفع عتبة القصة الأمنية الخطيرة لأنها تجمع بين مشكلتين في وقت واحد: ثغرة browser لم تُصحح منذ فترة طويلة وكود proof-of-concept عام يخفض حاجز الاستغلال. وفقًا لـ Ars Technica، قال الباحث الذي أبلغ عن المشكلة بشكل خاص في أواخر 2022 إن exploit المنشور سيكون سهل الاستخدام إلى حد ما، حتى لو كان تشغيله على نطاق واسع لا يزال يتطلب جهدًا. هذا هو بالضبط نوع فجوة الإفصاح التي يمكن أن تحول ثغرة browser متخصصة إلى خطر تشغيلي أوسع.

التأثير المبلغ عنه ليس استيلاءً كاملاً على الجهاز، لكنه لا يزال كبيرًا. يمكن لـ exploit تحويل browser إلى وكيل محدود، والمساعدة في إطلاق حركة DDoS، والكشف عن بعض أنماط نشاط browser. نظرًا لأن أي موقع ويب يتم زيارته يمكن أن يؤدي إلى إساءة الاستخدام، فإن سطح الهجوم واسع بشكل غير عادي. Firefox وSafari غير متأثرين لأنهما لا يدعمان ميزة background-fetch نفسها، لكن نظام Chromium البيئي كبير بما يكفي لدرجة أن الخطر لا يزال يغطي حصة كبيرة من التصفح المكتبي.

الجدول الزمني يجعل القصة أكثر إثارة للقلق. تقول Ars إن الثغرة تم الإبلاغ عنها قبل 29 شهرًا، وحصلت على تصنيف S1 عالي الخطورة داخل مناقشات Chromium، وظلت غير مصححة عندما تم نشر proof-of-concept علنًا. على الرغم من أن Google أزالت الإفصاح لاحقًا، إلا أن نسخًا تبقى على مواقع الأرشفة. هذا يعني أن المدافعين لم يعودوا يتحكمون في تدفق المعلومات. المهاجمون والباحثون ومستجيبو الحوادث يعملون الآن من نفس نقطة البداية تقريبًا بينما لا يزال المستخدمون ينتظرون إصلاحًا.

التأثير العملي للمؤسسات هو أن تعزيز أمان browser لم يعد من الممكن معالجته كقضية endpoint خفيفة. الشركات التي تعتمد بشكل كبير على Chromium-based browsers قد تحتاج إلى مراقبة سلوك UI للتنزيل غير المبرر، وتقييد سياقات التصفح الخطرة، ومتابعة تحديثات البائعين عن كثب خلال الأيام القليلة القادمة. هذا أيضًا تذكير آخر بأن ديون أمان browser يمكن أن تبقى لسنوات في ميزات قليلة الاستخدام قبل أن تصبح عاجلة فجأة.

حتى تصدر Google وبائعو Chromium patch، القصة أقل حول الذعر وأكثر حول إدارة التعرض. كود exploit العام يغير معادلة المخاطرة فورًا. بمجرد خروج هذا الكود، كل يوم بدون إصلاح يصبح أكثر أهمية.