בעיות אבטחה מוקדמות הכה את Chrome של Google

חוקרי אבטחה דיווחו על מציאת נקודות תורפה ב- Google דפדפן אינטרנט חדש יום אחרי שהוא שוחרר בגרסת הביטא.

פגיעות אחת תאפשר להאקרים לקרוס את הדפדפן. חוקר אבטחה רישי Narang תיאר את הבעיה באתר האינטרנט של SecuriTeam ופרסמה הוכחה של רעיון ב Evilfingers. לדברי Narang, האקר יכול לבנות קישור זדוני הכולל מטפל לא מוגדר ואחריו דמות מסוימת. כאשר משתמש לוחץ על הקישור, Chrome קורס.

פגיעות אחרת, חמורה יותר, עלולה לגרום למשתמשי Chrome להוריד קוד זדוני. הבעיה נובעת, בין השאר, מהעובדה שגוגל משתמשת בגירסה ישנה יותר של WebKit, טכנולוגיית דפדפן הקוד הפתוח המשמשת גם בדפדפן Safari של אפל, הכולל את הפגיעות.

התגלה ע"י החוקר אביב רף, הבעיה נמצאת באופן שבו קבצי ההורדה של Chrome והאופן שבו Windows מטפל בקבצים שהורדו, הוא אומר.

הגדרת ברירת המחדל של Chrome מורידה קבצים לתיקייה. לאחר מכן הוא מציג סרגל הורדה בתחתית דף הדפדפן. משתמשים לוחצים על הסרגל כדי לפתוח את הקובץ. אם הקובץ הוא קובץ הפעלה, Windows מציג אזהרה, דבר שיכול לסייע למשתמשים להימנע מלהסיר בטעות קוד זדוני.

אם הקובץ הוא JAR (Java Archive), עם זאת, הוא אינו מטופל כמו קובצי הפעלה אחרים, אמר Raff. כאשר משתמש לוחץ על סרגל ההורדה, במקום להציג אזהרה, Windows מפעיל את הקובץ באופן אוטומטי.

הבעיה מחריפה בשל האופן שבו נראה סרגל ההורדות, אמר Raff. נראה שהבר מופיע כחלק מדף האינטרנט. בהוכחה לרעיון ש- Raff פרסם, משתמשים עשויים לחשוב שהם לוחצים על קישור או על כפתור בדף, במקום לפתוח קובץ שהורד.

"זה שוב סוג של" איום מעורבב " "כתב פוסט בבלוג. "שני נושאים קטנים במוצרים שונים, כשהם מעורבבים יחד, יוצרים בעיה הרבה יותר גדולה". הוא חושב שגוגל עלולה להתמודד עם בעיות דומות אחרות, שכן Chrome משתמש בטכנולוגיות מדפדפנים שונים, כולל Safari של אפל ו- Firefox של Mozilla. "ביטחון, זה בעייתי מאוד, "כתב רף. "הם יצטרכו לעקוב אחר כל נקודות התורפה באבטחה ולתקן אותם גם ב- Chrome.זה כנראה יהיה רק ​​לאחר שנקבעו על ידי הספקים האחרים או שדווחו בפומבי.זה יכניס את משתמשי Chrome לסיכון ארוך. "

Google לא התייחסה ישירות לשאלות לגבי הפגיעות או אם היא מתכננת לבצע שינויים כלשהם ב- Chrome כדי למנוע בעיות אפשריות. במקום זאת, אמרה דוברת גוגל בהצהרה כי כברירת מחדל, Chrome מוריד קבצים לתיקיה נפרדת במקום בשולחן העבודה של המשתמש כדרך כדי למנוע בעיות אבטחה מסוימות. בנוסף, היא אמרה כי המשתמשים יכולים להגדיר את הדפדפן כדי לשאול היכן לשמור כל קובץ לפני הורדתו.

היא גם לא אמרה אם גוגל מתכוונת לשדרג לגרסה העדכנית יותר של WebKit, אשר מטפל בבעיה על ידי הצגת תיבת הדו שיח עבור קבצים JAR לשאול משתמשים אם הם רוצים להוריד אותם