آسیب‌پذیری‌های چندگانه در گوگل کروم، که می‌تواند منجر به اجرای کد دلخواه شود.

آسیب‌پذیری‌های چندگانه در گوگل کروم، که می‌تواند منجر به اجرای کد دلخواه شود.

نظری اجمالی: آسیب‌پذیری‌های چندگانه‌ای در گوگل کروم کشف شده است که شدید‌ترین آن می‌تواند موجب اجرای کد دلخواه در سیستم آسیب‌پذیر شود. گوگل کروم یک مرورگر وب برای دسترسی به اینترنت است. بهره‌برداری از شدید‌ترین این آسیب‌پذیری‌ها می‌تواند موجب اجرای کد دلخواه در محتوای سیستم آسیب‌پذیر شود. بسته به مجوزهای مربوط به این برنامه، مهاجم می‌تواند نرم‌افزار‌ها را نصب و یا حذف کند و همچنین اطلاعات و داده‌ها را مشاهده، تغییر یا حذف کند و یا حساب‌های جدید با حقوق کامل کاربری را ایجاد کند. اگر دسترسی کاربری کمتری برای این برنامه در سیستم اعمال شود، بهره‌برداری از این آسیب‌پذیری‌ها می‌تواند تاثیر مخرب کمتری داشته باشد، مگر اینکه برنامه با دسترسی مدیریتی پیکربندی شود. تهدید امنیتی: در حال حاضر هیچ گزارشی مبنی بر سوء استفاده از این آسیب‌پذیری‌ها در دنیای بیرون ارائه نشده است. سیستم های تحت تاثیر این آسیب پذیری ها : • گوگل کروم نسخه‌های قبل از 74.0.3729.108 ریسک پذیری و مخاطره: دولتی: • موسسات دولتی بزرگ و متوسط: زیاد • موسسات دولتی کوچک: متوسط کسب و کار و تجارت: • موسسات دولتی بزرگ و متوسط: زیاد • موسسات دولتی کوچک: متوسط کاربران خانگی: • کم خلاصه فنی: آسیب‌پذیری‌های چندگانه‌ای در گوگل کروم کشف شده است که شدید‌ترین آن می‌تواند موجب اجرای کد دلخواه در سیستم آسیب‌پذیر شود. اگر کاربر به یک صفحه وب مخصوصاً طراحی شده هدایت شود و یا آن را شخصاً مشاهده کند، این آسیب‌پذیری می‌تواند مورد بهره‌برداری قرار گیرد. جزئیات این آسیب‌پذیری‌ها به شرح زیر است: • دور زدن CORS در (Blink (CVE-2019-5811, CVE-2019-5814. • دور زدن CORS در مدیریت دانلود (CVE-2019-5822). • اکسپلویت افزونه Persistence در اندروید (CVE-2019-5816). • رهیابی اجباری (service worker (CVE-2019-5823. • سرریز بافر Angle در ویندوز (CVE-2019-5817). • سرریز بافر (Blind (CVE-2019-5815. • خروج نامناسب از (developer tools (CVE-2019-5819. • سرریز عدد صحیح در (Angle (CVE-2019-5806. • سرریز عدد صحیح در (PDFium (CVE-2019-5820, CVE-2019-5821. • نقص حافظه در (V8 (CVE-2019-5807. • خواندن خارج از محدوده در (V8 (CVE-2019-5813. • عدم مقداردهی اولیه در پخش کننده رسانه (CVE-2019-5818). • URL جعلی در Omnibox موجود در سیستم‌عامل (iOS (CVE-2019-5812. • استفاده پس از آزادی در (Blink (CVE-2019-5808, CVE-2019-5809. • استفاده پس از آزادی در (PDFium (CVE-2019-5805. • افشای اطلاعات در بخش تکمیل خودکار (CVE-2019-5810). بهره‌برداری موفق از شدیدترین این آسیب‌پذیری‌ها می‌تواند منجر به اجرای کد دلخواه در محتوای مرورگر، دستیابی به اطلاعات حساس، دور زدن محدودیت‌های امنیتی، انجام اقدامات غیر مجاز و ایجاد شرایط منع سرویس شود. توصیه‌ها: • بلافاصله پس از آزمایش مناسب، وصله مناسب ارائه‌شده توسط گوگل به سیستم‌های آسیب‌پذیر اعمال شود. • برای کاهش اثرات حمله موفقیت‌آمیز، همه‌ی نرم‌افزارها را به عنوان یک کاربر با سطح دسترسی پایین اجرا کنید. • تذکر به کاربران برای بازدید نکردن وب‌سایت‌های با منبع نامعتبر و همچنین دنبال نکردن لینک‌های ناشناس. • اطلاع‌رسانی و آموزش کاربران در مورد تهدیدات ناشی از لینک‌های ابرمتن موجود در ایمیل‌ها یا ضمیمه‌ها مخصوصا از منابع نامعتبر و ناشناس. • اصل POLP یا Principle of Least Privilege را به تمام سیستم‌ها و سرویس‌ها اعمال کنید.