In questo articolo Indice dei contenuti 2 sezioni
Chi utilizza Chrome ha buoni motivi per controllare subito la voce degli aggiornamenti, perché Google ha appena distribuito una release di sicurezza che chiude 230 vulnerabilità, una delle quali risulta già sfruttata attivamente. Il rilascio arriva poco dopo un intervento analogo di Microsoft e riguarda il canale stabile del browser su Windows, Mac e Linux. Numeri alla mano si tratta di uno degli interventi più corposi degli ultimi tempi, con falle che toccano praticamente ogni angolo del programma, dalla grafica alla gestione dei pagamenti.
L’annuncio ufficiale parla della promozione di Chrome 153 al canale stabile, con una distribuzione graduale che si completerà nell’arco di giorni o settimane a seconda dei sistemi. Su Linux la versione di riferimento è la 153.0.8010.36, mentre su Windows e Mac il numero di build è 153.0.8010.36 oppure .37. Google ha specificato che il pacchetto non porta soltanto miglioramenti generici, ma una lunga serie di correzioni vere e proprie.
Le falle più gravi corrette dall’aggiornamento di Chrome
Nella lista figurano cinque problemi classificati come critici, la fascia più alta nella scala di rischio usata da Google. Quattro riguardano WebGL, il componente che gestisce la grafica tridimensionale all’interno delle pagine web, con due casi di use after free, una scrittura fuori dai limiti di memoria e un buffer overflow. Il quinto tocca il modulo Cast, quello che permette di trasmettere contenuti verso altri dispositivi. Una delle segnalazioni su WebGL è stata premiata con un bounty da EUR 2.152, pari a circa 2.150 euro, mentre le altre sono arrivate direttamente dai team interni dell’azienda.
Scendendo di un gradino, la sezione delle vulnerabilità ad alta gravità è la più affollata. Compaiono diversi bug in ANGLE, il livello che traduce le chiamate grafiche fra sistemi diversi, con letture e scritture fuori dai limiti, overflow e validazioni sbagliate degli indici degli array. Ci sono poi quattro problemi legati a V8, il motore JavaScript del browser, fra type confusion e use after free. Le segnalazioni arrivano da un mix di ricercatori indipendenti, laboratori universitari come il Compsec Lab della Seoul National University e perfino da sistemi automatici di analisi. Altre falle colpiscono PDFium, Chromoting, DevTools, Printing, Web Authentication e il modulo dei pagamenti, che da solo raccoglie quattro casi distinti di use after free.
Perché conviene installare la patch senza rinviare
La parte più delicata di questa tornata di correzioni di sicurezza riguarda proprio il fatto che una delle vulnerabilità è già oggetto di attacchi reali. In casi simili la finestra di rischio si apre nel momento esatto in cui il problema diventa pubblico, perché chi progetta exploit può studiare le informazioni rese disponibili e colpire chi non ha ancora aggiornato. Il meccanismo di distribuzione graduale scelto da Google significa che non tutti riceveranno la nuova build nello stesso momento, motivo per cui vale la pena forzare il controllo manuale dal menu delle impostazioni.
Nella fascia media dell’elenco si trovano decine di problemi che riguardano soprattutto autorizzazioni mancanti o gestite in modo scorretto. Ricorrono nomi come FileSystem, CORS, ServiceWorker, Extensions, WebView, SiteIsolation, Downloads e PushAPI. Un caso curioso riguarda una discrepanza osservabile nel sistema di Autofill, segnalata addirittura nell’agosto del 2022 e chiusa solo adesso, con un premio da EUR 1.722, circa 1.700 euro. Il bounty più alto di questa infornata, EUR 4.304 pari a poco meno di 4.300 euro, è andato invece a un ricercatore che ha individuato un use after free nel componente Core.
Fra le altre ricompense spiccano i EUR 2.583, intorno ai 2.600 euro, per una lettura fuori dai limiti in WebView, e i EUR 430, poco più di 400 euro, per un double free in PDFium. Le segnalazioni interne, indicate come provenienti da Google, non prevedono ovviamente alcun premio in denaro e costituiscono la fetta più ampia dell’elenco pubblicato dal team di sviluppo del browser.
Fonte: TecnoAndroid
