Google случайно опубликовал эксплойт для незакрытой уязвимости в Chromium

Google опубликовал рабочий proof-of-concept код для уязвимости в движке Chromium, которая остаётся незакрытой уже 42 месяца. Под угрозой — сотни миллионов пользователей Chrome, Microsoft Edge и практически всех других браузеров на базе Chromium. Публикация произошла случайно: код попал в открытый трекер ошибок Chromium, после чего Google удалил запись, однако она уже была сохранена на архивных сайтах вместе с самим эксплойтом.

Что за уязвимость и чем она опасна

Проблема затрагивает стандартный браузерный интерфейс Browser Fetch — механизм, который позволяет загружать в фоновом режиме большие файлы: видео, обновления, медиаконтент. Именно эту функцию злоумышленник может использовать для создания постоянного соединения с браузером жертвы.

Практические возможности атаки включают мониторинг части браузерной активности пользователя, использование его устройства в качестве анонимного прокси, организацию DDoS-атак через скомпрометированные браузеры, а также посещение вредоносных сайтов от имени жертвы. Особенно тревожная деталь: установленное соединение не разрывается даже после перезагрузки браузера или самого устройства — в зависимости от конкретного браузера оно либо сохраняется, либо восстанавливается автоматически.

Фактически уязвимость позволяет превратить браузер в элемент ботнета. Возможности ограничены тем, что умеет делать сам браузер, — но этого достаточно, чтобы собрать в единую сеть тысячи, а потенциально и миллионы устройств.

46 месяцев от отчёта до публичного раскрытия

Уязвимость обнаружила независимый исследователь Lyra Rebane. Она сообщила о проблеме в Google в конце 2022 года — то есть с момента приватного отчёта прошло уже 46 месяцев. Всё это время баг был известен только разработчикам Chromium и оставался незакрытым.

В переписке внутри трекера двое разработчиков Google независимо друг от друга охарактеризовали проблему как «серьёзную уязвимость». Приоритет был выставлен на уровне P1 — второй по критичности, серьёзность — S2, третий уровень из возможных. Несмотря на такие оценки, патч так и не появился.

Когда в среду утром запись с эксплойтом появилась в публичном трекере, Rebane поначалу решила, что уязвимость наконец закрыли и разработчики просто раскрывают детали по стандартной процедуре. Вскоре выяснилось обратное: баг по-прежнему не исправлен, а код атаки стал общедоступным.

««Опасность в том, что можно собрать вместе множество разных браузеров и в будущем запустить на них что угодно, как только появится подходящий инструмент», — объяснила Rebane.»

По её словам, воспользоваться опубликованным кодом «довольно просто», хотя масштабирование атаки до уровня крупного ботнета потребует дополнительных усилий.

Цепочка атак: почему это серьёзнее, чем кажется

Сама по себе уязвимость не даёт злоумышленнику полного контроля над устройством — её возможности ограничены браузерной «песочницей». Однако исследователи указывают на сценарий цепочки атак: сначала тысячи устройств объединяются в скрытую сеть через этот баг, а затем, при появлении отдельной уязвимости с более широкими привилегиями, все они могут быть скомпрометированы одновременно.

Для белорусских пользователей и компаний ситуация не менее актуальна, чем для остального мира. Chrome и Edge — доминирующие браузеры как на корпоративных рабочих станциях, так и на личных устройствах. IT-компании в ПВТ, работающие с зарубежными клиентами, и финансовые организации, использующие веб-интерфейсы для операций, рискуют в той же мере, что и любой другой пользователь Chromium.

Google пока не прокомментировал сроки выпуска патча. До его появления единственная практическая мера — следить за обновлениями браузера и избегать посещения сомнительных сайтов, хотя последнее не гарантирует защиты: эксплойт срабатывает на любом сайте, который посещает пользователь.

История с 42-месячным окном уязвимости поднимает более широкий вопрос о процессах управления безопасностью в крупных open-source проектах. Chromium — основа для подавляющего большинства современных браузеров, и задержки с закрытием критических багов в нём имеют последствия для всей экосистемы, а не только для продуктов одного вендора.

— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business.