Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Browser / Chrome

Chrome

Google menambal zero-day Chrome ke-10 yang dieksploitasi di alam liar tahun ini

by

Google telah merilis Chrome 93.0.4577.82 untuk Windows, Mac, dan Linux untuk memperbaiki sebelas kerentanan keamanan, dua di antaranya adalah zero-days yang dieksploitasi di alam liar.

“Google menyadari bahwa eksploitasi untuk CVE-2021-30632 dan CVE-2021-30633 ada di alam liar,” perusahaan mengungkapkan dalam catatan rilis untuk versi Chrome baru.

Pembaruan saat ini diluncurkan di seluruh dunia di saluran desktop Stabil, dan Google menyatakan itu akan tersedia untuk semua orang selama beberapa hari ke depan.

Google Chrome juga akan secara otomatis memeriksa pembaruan baru saat Anda memulai ulang browser di lain waktu.

Dua kerentanan zero-day yang diperbaiki hari ini diungkapkan ke Google pada 8 September 2021, dan keduanya merupakan bug memori.

CVE-2021-30632 adalah penulisan di luar batas di mesin JavaScript V8, dan bug CVE-2021-30633 adalah bug use-after-free di API DB yang Diindeks.

Meskipun bug ini sering menyebabkan browser crash, pelaku ancaman terkadang dapat mengeksploitasinya untuk melakukan eksekusi kode jarak jauh, sandbox escapes, dan perilaku berbahaya lainnya.

Sementara Google telah mengungkapkan bahwa kedua bug telah dieksploitasi di alam liar, mereka belum membagikan informasi lebih lanjut mengenai serangan tersebut.

Dengan dua kerentanan ini, Google kini telah menambal total sepuluh kerentanan zero-day di Chrome pada tahun 2021.

Karena kerentanan ini diketahui telah dieksploitasi secara liar, sangat disarankan agar semua Google Chrome segera memperbarui ke versi terbaru.

Selengkapnya: Bleeping Computer

Google Merilis Pembaruan Keamanan untuk Chrome

by

Google telah merilis Chrome versi 91.0.4472.101 untuk Windows, Mac, dan Linux. Versi ini membahas kerentanan yang dapat dieksploitasi penyerang untuk mengendalikan sistem yang terpengaruh. Salah satu kerentanan ini—CVE-2021-30551—telah terdeteksi dalam eksploitasi di alam liar.

CISA mendorong pengguna dan administrator untuk meninjau Catatan Rilis Chrome dan menerapkan pembaruan yang diperlukan.

selengkapnya : us-cert.cisa.gov

Windows 10 ditargetkan oleh peretas PuzzleMaker menggunakan Chrome zero-day

by

Peneliti keamanan Kaspersky menemukan aktor ancaman baru bernama PuzzleMaker, yang telah menggunakan rantai eksploitasi zero-day Google Chrome dan Windows 10 dalam serangan yang sangat bertarget terhadap beberapa perusahaan di seluruh dunia.

Menurut Kaspersky, serangan yang dikoordinasikan oleh PuzzleMaker pertama kali terlihat pada pertengahan April ketika jaringan korban pertama disusupi.

Rantai eksploitasi zero-day yang diterapkan dalam kampanye menggunakan kerentanan eksekusi kode jarak jauh di mesin JavaScript Google Chrome V8 untuk mengakses sistem yang ditargetkan.

Selanjutnya, pelaku ancaman PuzzleMaker menggunakan peningkatan eksploitasi hak istimewa yang dirancang khusus untuk mengkompromikan versi Windows 10 terbaru dengan menyalahgunakan kerentanan pengungkapan informasi di kernel Windows (CVE-2021-31955) dan bug eskalasi hak istimewa Windows NTFS (CVE-2021 -31956), keduanya ditambal di Patch Tuesday bulan Juni 2021.

Para penyerang menyalahgunakan Windows Notification Facility (WNF) bersama dengan kerentanan CVE-2021-31956 untuk mengeksekusi modul malware dengan hak istimewa sistem pada sistem Windows 10 yang disusupi.

“Setelah penyerang menggunakan eksploitasi Chrome dan Windows untuk mendapatkan pijakan di sistem yang ditargetkan, modul stager mengunduh dan mengeksekusi dropper malware yang lebih kompleks dari server jarak jauh,” kata para peneliti.

Indikator kompromi (IOC) termasuk hash sampel malware dapat ditemukan di akhir laporan Kaspersky.

Selengkapnya:

Chrome 91 lebih cepat hingga 23%, berkat kompiler JavaScript baru, pengoptimalan memori

by

Google meluncurkan versi terbaru perambannya minggu lalu dengan kemampuan untuk membekukan Grup Tab dan meluncurkan PWA saat permulaan. Di balik layar, Chrome 91 23% lebih cepat, berkat sepasang tambahan JavaScript.

Ini dimulai dengan compiler JavaScript baru yang “mengisi celah antara keharusan untuk mulai mengeksekusi dengan cepat dan mengoptimalkan kode untuk kinerja maksimum.” Chrome menggunakan kompiler bernama Ignition untuk skenario sebelumnya dan Turbofan untuk skenario setelahnya. Keduanya diperkenalkan tiga tahun lalu sebagai bagian dari sistem kompilator dua tingkat.

Sparkplug menambahkan compiler lain dan “menyeimbangkan” antara keduanya yang menghasilkan kode mesin asli, tetapi tidak bergantung pada informasi yang dipelajari saat menjalankan kode JavaScript.

Sementara itu, built-in pendek memiliki mesin V8 yang dioptimalkan di mana kode yang dihasilkan memori ditempatkan untuk menghindari lompatan tidak langsung saat memanggil fungsi.

Google mengatakan panggilan builtin singkat “sangat berpengaruh untuk chip Apple M1 baru” dengan lebih banyak detail teknis tersedia di sini. Secara keseluruhan, Chrome 91 sekarang lebih cepat hingga 23% dan menghemat 17 tahun waktu CPU pengguna setiap hari dengan pembaruan JavaScript ini.

Selengkapnya: 9to5google

Chrome sekarang secara otomatis memperbaiki sandi yang dibobol di Android

by

Google meluncurkan fitur Chrome di Android baru untuk membantu pengguna mengubah kata sandi yang disusupi dalam pelanggaran data dengan satu ketukan.

Chrome telah membantu Anda memeriksa apakah kredensial Anda disusupi dan, dengan peluncuran fitur perubahan kata sandi otomatis yang baru, Chrome juga akan memungkinkan Anda untuk mengubahnya secara otomatis.

Sekarang, setiap kali memeriksa kata sandi yang dicuri di situs dan aplikasi yang didukung, Google Assistant akan menampilkan tombol “Ubah kata sandi” yang akan menginstruksikan Chrome untuk menavigasi ke situs web dan melalui seluruh proses perubahan kata sandi itu sendiri.

Anda juga akan diberikan pilihan untuk melalui seluruh langkah secara manual kapan saja selama proses perubahan kredensial.

Google juga mengumumkan hari ini bahwa pengelola kata sandi Chrome untuk Android juga akan mendapatkan beberapa peningkatan, termasuk:

  • Alat baru yang memudahkan untuk mengimpor kata sandi dari pengelola kata sandi lain.
  • Integrasi yang lebih dalam dengan Chrome dan Android untuk mengisi sandi Anda dengan lancar di seluruh situs dan aplikasi, terlepas dari apakah Anda menggunakan desktop atau seluler.
  • Password Alerts yang secara otomatis memperingatkan Anda tentang sandi tersimpan yang telah disusupi melalui pelanggaran pihak ketiga.

Selengkapnya: Bleeping Computer

Google memperbaiki zero-day Chrome yang dibagikan di Twitter minggu lalu

by

Google telah merilis Chrome 90.0.4430.85 untuk mengatasi zero-day yang dieksploitasi secara aktif dan empat kerentanan keamanan tingkat tinggi lainnya yang memengaruhi browser web terpopuler saat ini.

Versi yang dirilis pada 20 April 2021, ke saluran desktop Stabil untuk pengguna Windows, Mac, dan Linux akan diluncurkan ke semua pengguna selama beberapa minggu mendatang.

Google tidak membagikan detail apa pun mengenai zero-day selain menggambarkannya sebagai ‘Type Confusion in V8’ dan mengatakan bahwa itu dilaporkan oleh Jose Martinez dari VerSprite Inc.

Namun, Martinez menautkannya ke eksploitasi bukti konsep (PoC) yang dibagikan secara publik di Twitter satu minggu lalu setelah laporan awal Program Penghargaan Kerentanan Chrome dari tanggal 5 April.

Kerentanan eksekusi kode jarak jauh ini tidak dapat dimanfaatkan oleh penyerang untuk keluar dari fitur keamanan sandbox Chromium (fitur keamanan yang dirancang untuk memblokir eksploitasi agar tidak mengakses file atau menjalankan kode di komputer host).

Namun, itu dapat dengan mudah digabungkan dengan bug keamanan lain yang dapat memungkinkan eksploitasi untuk keluar dari sandbox dan mengeksekusi kode arbitrer pada sistem pengguna yang ditargetkan.

Selengkapnya: Bleeping Computer

Google merilis Chrome 90 dengan HTTPS secara default dan perbaikan keamanan

by

Google baru saja merilis Chrome versi 90, membawa pembaruan privasi yang secara otomatis menambahkan HTTPS ke URL ketika tersedia.

Insinyur Chrome menandai fitur HTTPS pada bulan Februari dan Google telah mengujinya di pratinjau Chrome 90 di saluran Canary dan Beta. Selain itu, Chrome 90 memblokir unduhan dari sumber HTTP jika URL lamannya adalah HTTPS.

Google menjelaskan dalam posting blog bulan lalu bahwa HTTPS default akan membantu saat pengguna mengetik “example.com”, bukan “https://example.com”. Chrome sebelumnya menggunakan http:// sebagai protokol default, tetapi sekarang default ke https://. secara teori hal ini mempercepat pemuatan halaman, karena Chrome terhubung langsung ke HTTPS tanpa perlu dialihkan dari http:// ke https://.

Chrome 90 juga menghadirkan kontrol ‘On / Off’ pertama untuk Kotak Pasir Privasi Google, yang termasuk sebagai bagian dari desainnya, pengganti pengenal FLoC Google yang kontroversial untuk cookie pihak ketiga yang telah dinonaktifkan oleh browser saingan Brave dan Vivaldi.

Selain pembaruan ini, Chrome 90 menyertakan 37 perbaikan keamanan. Peneliti eksternal melaporkan enam masalah dengan tingkat keparahan tinggi, 10 masalah dengan tingkat keparahan sedang, dan tiga masalah dengan tingkat keparahan rendah.

Rilis Chrome ini juga dikirimkan dengan pembuat enkode AV1 dengan dukungan yang lebih baik untuk aplikasi konferensi video WebRTC, seperti Duo, Meet, dan Webex. Google mencatat bahwa AV1 menawarkan kemampuan berbagi layar yang lebih baik daripada VP9 dan codec lainnya. Ini juga memungkinkan video untuk pengguna di jaringan bandwidth rendah, misalnya pada 30kbps dan lebih rendah.

Sumber : ZDnet

Eksploitasi zero-day Google Chrome kedua dibagikan di twitter minggu ini

by

Eksploitasi eksekusi kode jarak jauh zero-day Chromium kedua telah dirilis di Twitter minggu ini yang memengaruhi versi terbaru Google Chrome, Microsoft Edge, dan kemungkinan browser berbasis Chromium lainnya.

Kerentanan zero-day adalah ketika informasi mendetail tentang kerentanan atau exploit dirilis sebelum pengembang perangkat lunak yang terpengaruh dapat memperbaikinya. Kerentanan ini menimbulkan risiko yang signifikan bagi pengguna karena memungkinkan pelaku ancaman untuk mulai menggunakannya sebelum perbaikan dirilis.

Seorang peneliti keamanan yang dikenal sebagai frust menjatuhkan eksploitasi PoC di Twitter untuk bug zero-day browser berbasis Chromium yang menyebabkan aplikasi Windows Notepad terbuka.

Kerentanan zero-day baru ini muncul sehari setelah Google merilis Chrome 89.0.4389.128 untuk memperbaiki kerentanan zero-day Chromium lain yang dirilis secara publik pada hari Senin.

Frust merilis video yang menunjukkan kerentanan yang dieksploitasi untuk membuktikan bahwa eksploitasi PoC mereka berfungsi.

Selengkapnya: Bleeping Computer