گوگل آسیبپذیری جدید و خطرناکی که چند روز پیش در کروم کشف شده بود، با ارائهی بهروزرسانی برطرف کرد. کاربران گوگل کروم در سیستمعاملهای ویندوز و مک و لینوکس باید فوراً جدیدترین بهروزرسانی این مرورگر را برای حفاظت از دستگاهشان دربرابر آسیبپذیری خطرناک موجود دریافت کنند. گوگل دوم سپتامبر با انتشار اطلاعیهای در وبلاگش اعلام کرده بود که از گزارشهای منتشرشده دربارهی وجود مشکل امنیتی CVE-2022-3075 در کروم آگاه است. فردی ناشناس مشکل مذکور را ۳۰ آگوست فاش و گوگل اعلام کرده بود که بهروزرسانی جدیدی برای رفع این مشکل در روزها یا هفتههای آینده منتشر میشود. اگرچه گوگل فعلاً اطلاعات زیادی دربارهی ماهیت باگ مذکور ارائه نکرده است، گزارشها نشان میدهد که مشکل باید به «راستیآزمایی ناکافی دادهها» در Mojo مربوط باشد که مجموعهای از کتابخانههای runtime بهکاررفته در کرومیوم است.
گوگل افزوده است تا زمانیکه اکثر کاربران بهروزرسانی جدید برای رفع مشکل را دریافت نکردهاند، از انتشار اطلاعات باگ و لینکهای مرتبط خودداری میکند. با انجام این کار، از سوءاستفاده بیشتر از آسیبپذیری یادشده در مرورگر کروم جلوگیری میشود. کاربران کروم برای فعالکردن بهروزرسانی جدید، باید یک بار مرورگر را از نو اجرا کنند تا مرورگرشان در سیستمعاملهای ویندوز و مک و لینوکس به نسخهی ۱۰۵/۰/۵۱۹۵/۱۰۲ بهروز شود. برای اطمینان از دریافت آخرین بهروزرسانی، روی آیکون سهنقطه در کنج بالایی و راست مرورگر کلیک کنید و با رفتن به صفحهی Help و سپس About Google Chrome، نسخهی نصبشده روی دستگاهتان را بررسی کنید. بهروزرسانی جدید، تنها چند روز پس از انتشار آخرین نسخهی کروم با شمارهی ۱۰۵ در ۳۰ آگوست منتشر میشود که با وجود رفع ۲۴ مشکل امنیتی، همچنان آسیبپذیر بود. گفتنی است این ششمین آسیبپذیری «روز صفر» (Zero-Day) کشفشدهی کروم در سال جاری است. آسیبپذیری قبلی اواسط ماه آگوست کشف شده بود.
باگ جدید مروگرها، بازنویسی اطلاعات ذخیرهشده در حافظهی کلیپبورد
باگ جدید مروگرها، امکان بازنویسی اطلاعات ذخیرهشده در حافظهی کلیپبورد را دردسترس سایتهای مخرب قرار میدهد که میتوان با آن، آدرسهای جعلی یا دادههای دیگر را جایگزین کرد. آسیبپذیری جدیدی در مرورگرهای کروم، فایرفاکس و سافاری کشف شده است که روی عملکرد کلیپبورد تأثیر دارد. این باگ به وبسایتهای مخرب اجازه میدهد محتوای کلیپبورد کاربر را بازنویسی کنند. نکتهی جالب اینکه، بازدید از این وبسایتها برای دستیابی به این هدف و سوءاستفاده از باگ، کافی است. این آسیبپذیری، همهی مرورگرهای مبتنیبر موتور کرومیوم را نیز تحت تأثیر قرار میدهد، اما ظاهراً در مروگر اصلی کروم بیشتر دیده میشود؛ جاییکه درحالحاضر اقدام کاربر برای کپی محتوا، با خطا مواجه میشود. جف جانسون از توسعهدهندگان گوگل توضیح داد که چگونه میتوان این آسیبپذیری را به روشهای مختلفی فعال کرد که همگی به صفحهی وب اجازه میدهند محتوای کلیپبورد را بازنویسی کند. کاربران میتوانند پس از اعطای مجوز و با فعال کردن گزینهی Cut یا Copy، کلیک روی صفحهی پیوند یا حتی انجام اقدامات ساده مثل پیماش از بالای صفحه به پایین، تحت تأثیر این مشکل قرار گیرند.
جانسون درمورد آسیبپذیری جدید مرورگرهای وب توضیح داد، درحالیکه کاربران فایرفاکس و سافاری باید محتوا را بهطور فعال و با استفاده از Control+C یا ⌘-C، در کلیپبورد کپی کنند. کاربران همچنین میتوانند با مشاهدهی صفحهی وب مخرب، برای جلوگیری از قرارگیری درمعرض خطر این باگ از ⌘-C استفاده کنند. پست وبلاگی جانسون به نمونههای ویدئویی از Sime نیز اشاره دارد؛ سازندهی محتوایی که تخصص آن در تولید محتوای ویژهی توسعهدهندگان وب است. نمایشهای Sime نشان میدهد باگ جدید مرورگرهای وب، چقدر سریع روی کاربران کروم تأثیر میگذارد. این مشکل بهراحتی و با جابهجایی میان برگههای فعال مرورگر ایجاد میشود. صرفنظر از اینکه کاربر چه مدت یا چه نوع تعاملاتی انجام میدهد، سایت مخرب، محتوای کلیپبورد را با هرچیزی که عامل تهدید است جایگزین میکند.
به گزارش Techpot، برای اینکه بتوانید دادههای جدیدی به کلیپبورد اضافه کنید، وبسایت شما باید روی برگهی فعال بارگذاری شود. تغییر سریع میان برگهها برای فعال شدن این مورد کافی است. شما مجبور نیستید با وبسایتهای مخرب تعامل داشته باشید یا حتی بیش از یکدهم ثانیه به آن نگاه کنید. وبلاگ جانسون با بیان جزئیات فنی، اشاره میکند یک صفحهی وب چگونه میتواند مجوز نوشتن روی کلیپبورد سیستم را بهدست آورد. یک روش از دستور منسوخ document.execCommand استفاده میکند. روش دیگر، از APIهای جدیدتری مثل navigator.clipboard.writetext بهره میبرد که امکان نوشتن هر متنی را بدون نیاز به اقدامات اضافه در حافظهی کلیپبورد فراهم میکنند. وبلاگ جانسون همچنین شامل نمایشی از نحوهی عملکرد هردو رویکرد به آسیبپذیری مذکور است. درحالیکه ممکن است آسیبپذیری فوق در ظاهر چندان خطرناک بهنظر نرسد، اما کاربران باید آگاه باشند که عوامل مخرب چگونه میتوانند از مبادلهی محتوا برای سوءاستفاده از قربانیان ناآگاه استفاده کنند. بهعنوان مثال یک سایت مخرب میتواند URL کپیشدهی قبلی را با URL جعلی دیگری جایگزی کند و کاربر را ناآگاهانه بهسمت سایتهای دیگری هدایت کند که برای گرفتن اطللاعات و بهخطر انداختن امنیت طراحی شدهاند.
مهاجمان همچنین میتوانند با استفاده از این آسیبپذیری، آدرسهای کیف پول رمزارزی دیجیتال ذخیرهشده در کلیپبورد را با آدرس کیف پول دیگری که سازندهی وبسایت مخرب آن را کنترل میکند، تغییر دهند. هنگامیکه تراکنش انجام و وجوه به کیف پول جعلی انتقال یافت، کاربر قربانی معمولاً توانایی ردیابی و بازپسگیری وجوه خود را ندارند. بهنظر میرسد گوگل از این آسیبپذیری آگاه است و انتظار میرود در آیندهی نزدیک یک وصلهی نرمافزاری برای رفع آن منتشر کند. کاربران تا آن زمان باید با اجتناب از باز کردن صفحات با استفاده از محتوای کپیشدهی مبتنیبر کلیپبورد، احتیاط کرده و پیش از ادامهی هر فعالیتی که میتواند امنیت شخصی یا مالی آنها را بهخطر بیندازد، خروجی محتوای کپیشدهی خود را تأیید کنند.