Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Google Chrome

Google Chrome

Google menambal dua lagi zero day Chrome

by

Google hari ini telah merilis Chrome versi 86.0.4240.198 untuk menambal dua kerentanan zero-day yang dieksploitasi di alam liar.

Kedua bug ini menandai zero-day keempat dan kelima yang telah ditambal Google di Chrome selama tiga minggu terakhir. Sebelumnya Google menambal kerentanan CVE-2020-15999, CVE-2020-16009, CVE-2020-16010.

Perbedaannya kali ini adalah bahwa sementara tiga zero-day pertama ditemukan secara internal oleh peneliti keamanan Google, dua zero-day baru ini menjadi perhatian Google setelah mendapat tip dari sumber anonim.

Menurut changelog Chrome 86.0.4240.198, dua zero-day dilacak dan dijelaskan sebagai berikut:

  • CVE-2020-16013 – Dideskripsikan sebagai “penerapan yang tidak tepat di V8”, dimana V8 adalah komponen Chrome yang menangani kode JavaScript.
  • CVE-2020-16017 – Dijelaskan sebagai bug kerusakan memori “use after free” pada Site Isolation, komponen Chrome yang mengisolasi setiap data situs satu sama lain.

Meskipun tidak jelas tingkat bahayanya bagi pengguna biasa, pengguna Chrome masih disarankan untuk memperbarui ke versi 86.0.4240.198 melalui fungsi pembaruan bawaan browser sesegera mungkin.

Source: ZDNet

Chrome akan memblokir serangan tab-nabbing

by

Google akan menerapkan fitur keamanan baru di Chrome tahun depan untuk mencegah tab-nabbing, sejenis serangan web yang memungkinkan tab yang baru dibuka untuk membajak tab asli dari tempat tab tersebut dibuka.

Fitur baru ini dijadwalkan untuk dirilis dengan Chrome 88, yang akan rilis pada Januari 2021.

Sementara istilah “tab-nabbing” mengacu pada kelas luas serangan pembajakan tab [OWASP, Wikipedia], Google membahas skenario tertentu.

Skenario ini mengacu pada situasi ketika pengguna mengklik link, dan link terbuka di tab baru (melalui atribut “target= _blank”).

Tab baru ini memiliki akses ke halaman asli yang membuka link baru. Melalui fungsi JavaScript “window.opener”, tab yang baru dibuka dapat mengubah halaman asli dan mengarahkan pengguna ke situs berbahaya.

Sumber: OWASP

Jenis serangan ini telah mendukung beberapa kampanye phishing selama bertahun-tahun. Untuk mengurangi ancaman ini, pembuat browser seperti Apple, Google, dan Mozilla telah membuat atribut rel=”noopener”.

Dengan Chrome 88, Google akan mengejar dua pembuat browser utama lainnya. Selain menambahkan fitur ini di Chrome, perlindungan tab-nabbing baru juga akan ditambahkan ke semua browser berbasis Chromium lainnya, seperti Edge, Opera, Vivaldi, dan Brave.

Sumber: ZDNet

Setelah dua zero-day di Chrome versi desktop, Google kini menambal zero-day ketiga di versi Android

by

Google telah merilis pembaruan keamanan untuk browser Chrome versi Android guna memperbaiki kerentanan zero-day yang saat ini dieksploitasi di alam liar.

Chrome untuk Android versi 86.0.4240.185 dirilis dengan perbaikan untuk CVE-2020-16010, kerentanan heap buffer overflow di komponen antarmuka pengguna (UI) Chrome untuk Android.

Google mengatakan bug itu dieksploitasi untuk memungkinkan penyerang melewati dan melarikan diri dari sandbox keamanan Chrome di perangkat Android dan menjalankan kode pada OS yang mendasarinya.

Detail tentang serangan tersebut tidak dipublikasikan untuk memberi pengguna Chrome lebih banyak waktu untuk memasang pembaruan dan mencegah pelaku ancaman lainnya mengembangkan eksploitasi untuk zero-day yang sama.

Ini menandai zero-day Chrome ketiga yang ditemukan oleh tim TAG (Threat Analysis Group) Google dalam dua minggu terakhir.

Dua zero-day pertama hanya memengaruhi Chrome untuk versi desktop. Yang pertama ditambal pada 20 Oktober, dilacak sebagai CVE-2020-15999, dan memengaruhi library rendering font FreeType Chrome.

Selain itu, Google juga menambal zero-day kedua kemarin. Dilacak sebagai CVE-2020-16009, zero-day ini dideskripsikan sebagai eksekusi kode jarak jauh di mesin JavaScript Chrome V8.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Google menambal Chrome zero-day kedua dalam dua minggu

by

Google telah merilis pembaruan keamanan hari ini untuk browser web Chrome-nya yang menambal sepuluh bug keamanan, termasuk satu kerentanan zero-day yang saat ini aktif dieksploitasi di alam liar.

Diidentifikasi sebagai CVE-2020-16009, zero-day ini ditemukan oleh Grup Analisis Ancaman (TAG) Google, tim keamanan di Google yang bertugas melacak pelaku ancaman dan operasi mereka yang sedang berlangsung.

Dengan cara khas Google, detail tentang zero-day dan grup yang mengeksploitasi bug belum dipublikasikan – untuk memberi pengguna Chrome lebih banyak waktu untuk memasang pembaruan dan mencegah pelaku ancaman lain mengembangkan eksploitasi mereka sendiri untuk zero-day yang sama.

Namun, dalam changelog singkat yang diterbitkan hari ini, Google mengatakan kerentanan zero-day ini berada di V8, komponen Chrome yang menangani kode JavaScript.

Pengguna Chrome disarankan untuk memperbarui browser mereka ke versi 86.0.4240.183 segera.

Berita selengkapnya dapat dibaca pada tautan di bawa ini;
Source: ZDNet

Jelajahi web lebih aman di Chrome untuk Android dengan mengaktifkan Enhanced Safe Browsing

by

Google telah mengalokasikan banyak sumber daya untuk membantu kita tetap aman saat kita menjelajahi web dengan tindakan seperti Safe Browsing untuk Chrome, dan perusahaan baru-baru ini memperkenalkan versi yang disempurnakan dari alat ini.

Ini sudah tersedia di desktop, tetapi baru perlahan diluncurkan di Android. Jika Anda ingin langsung menggunakan Enhanced Safe Browsing, ada dua flag yang akan menampilkannya untuk Anda.

Untuk mendapatkan akses ke fitur keamanan baru, buka chrome://flags dan cari “safe browsing”. Anda perlu mengaktifkan dua tanda ini:

  • chrome://flags/#safe-browsing-security-section-ui-android
  • chrome://flags/#safe-browsing-enhanced-protection-android

Setelah diaktifkan, buka pengaturan dan cari bagian Privasi dan keamanan baru. Di sana, Anda akan menemukan UI Safe Browsing baru yang memungkinkan Anda memilih antara perlindungan standar dan perlindungan yang ditingkatkan. Seperti pada versi desktop saat ini, Anda dapat memilih level yang diinginkan di sini, tetapi Anda juga dapat mengetuk panah di samping kedua entri untuk mempelajari lebih lanjut tentang opsi yang akan Anda pilih.

Perbedaannya berada pada fitur yang lebih proaktif dalam perlindungan yang ditingkatkan: Versi standar hanya memeriksa URL dengan daftar situs tidak aman yang dibuat sebelumnya yang diperbarui secara rutin oleh Google, sementara mode baru mengirimkan URL yang tidak dikenal ke server Google untuk mengujinya secara real time, membantu melindungi Anda dari situs yang dengan cepat mengubah alamatnya untuk menghindari tindakan perlindungan lain dari perusahaan.

Dalam penggunaan sehari-hari, satu-satunya perbedaan antara perlindungan standar dan yang ditingkatkan yang akan Anda lihat adalah kurangnya opsi berbagi pada versi yang terbaru saat Anda membuka situs jahat. Itu karena Anda sudah setuju untuk mengirim tautan mencurigakan ke Google secara default, jadi tidak perlu opsi yang meminta Anda untuk melakukannya.

Untuk detail cara pengaktifan dapat dilihat pada tautan berikut ini;
Source: Android Police

Google menghapus dua pemblokir iklan Chrome yang tertangkap sedang mengumpulkan data pengguna

by

Google telah menghapus dua ekstensi pemblokir iklan dari Toko Web Chrome resmi selama akhir pekan setelah keduanya kedapatan mengumpulkan data pengguna minggu lalu.

Kedua ekstensi tersebut diberi nama Nano Adblocker dan Nano Defender, dan masing-masing memiliki lebih dari 50.000 dan 200.000 penginstalan, pada saat keduanya dihapus.

Keduanya telah ada selama lebih dari setahun, tetapi kode berbahaya itu tidak disertakan dengan versi aslinya.

Kode pengumpulan data ditambahkan pada awal bulan ini, pada Oktober 2020, setelah penulis asli menjual dua ekstensi tersebut ke “tim pengembang Turki”.

Setelah analisis lebih lanjut, kode berbahaya ini terungkap untuk mengumpulkan informasi tentang pengguna, seperti:

Alamat IP pengguna
Negara
Detail OS
URL situs web
Time Stamp untuk permintaan web
Metode HTTP (POST, GET, HEAD, dll.)
Ukuran respons HTTP
Kode status HTTP
Waktu yang dihabiskan di setiap halaman web
URL lain yang diklik di halaman web

Setelah dipanggil ke GitHub, kedua pengembang Turki itu membuat halaman kebijakan privasi di mana mereka mencoba untuk mengungkapkan perilaku pengumpulan data dalam upaya yang salah untuk melegitimasi kode berbahaya tersebut. Kedua ekstensi tersebut dihapus selama akhir pekan dan dinonaktifkan di Chrome pengguna browser.

Versi Firefox dari Nano Adblocker dan Nano Defender tidak pernah berisi kode berbahaya, karena mereka bukan bagian dari penjualan dan dikelola oleh pengembang yang berbeda.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Kerentanan di PDFium Google Chrome dapat mengakibatkan eksekusi kode jarak jauh

by Leave a Comment

Peneliti telah menemukan erentanan dalam fungsi PDFium dari Google Chrome. Kerentanan tersebut dapat dimanfaatkan oleh musuh untuk merusak memori dan berpotensi mengeksekusi kode jarak jauh.

PDFium adalah fitur Google Chrome yang memungkinkan pengguna untuk membuka file PDF di dalam Chrome.

Cisco Talos baru-baru ini menemukan kerentanan yang memungkinkan penyerang mengirim halaman web berbahaya ke pengguna dan kemudian menyebabkan akses memori di luar batas.

Kerentanan ini dilacak sebagai CVE-2020-6513, berada pada cara Google Chrome 83.0.4103.61 menjalankan JavaScript dalam dokumen PDF.

Halaman web yang dibuat secara khusus dapat menyebabkan akses memori di luar batas. Untuk mengaktifkan kerentanan, korban harus mengunjungi halaman web berbahaya atau membuka dokumen PDF berbahaya.

Kerentanan ini telah diperbaiki pada versi Google Chrome terbaru. Pengguna disarankan untuk segera memperbarui aplikasi Google Chrome segera.

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Cisco Talos

Google Chrome untuk Android menambahkan Secure DNS untuk penjelajahan yang lebih aman dan pribadi

by

Dengan dirilisnya Chrome 83 awal tahun ini pada bulan Mei, Google memperkenalkan fitur DNS Aman baru ke versi desktop browser. Fitur tersebut memanfaatkan DNS-over-HTTPS untuk mengenkripsi langkah yang dikenal sebagai ‘pencarian DNS (Domain Name System)’ untuk memastikan pengalaman penjelajahan yang lebih aman dan pribadi bagi pengguna.

Sekarang, Google telah mulai meluncurkan Google Chrome 85, yang menghadirkan fitur tersebut ke perangkat Android.

Menurut postingan blog baru-baru ini dari Google, Chrome 85 menghadirkan dukungan untuk Secure DNS di Chrome untuk Android dan berbagi prinsip desain yang sama dengan varian desktop. Dengan fitur tersebut, Chrome akan secara otomatis beralih ke DNS-over-HTTPS (DoH) jika penyedia DNS Anda saat ini mendukung fitur tersebut.

Mode otomatis akan memastikan bahwa Chrome dapat kembali ke layanan DNS biasa yang ditawarkan oleh penyedia pengguna saat ini (termasuk DNS-over-TLS jika dikonfigurasi) untuk memastikan bahwa pengguna tidak menghadapi gangguan apa pun, sambil secara berkala mencoba kembali untuk mengamankan komunikasi DNS.

Selain itu, pengguna akan mendapatkan kemampuan untuk menonaktifkan fitur sepenuhnya dari pengaturan browser.

Source: XDA Developers