fonte

Descrizione attuale

Un use-after-free in Blink in Google Chrome precedente alla versione 89.0.4389.90 consentiva a un attaccante remoto di sfruttare potenzialmente la corruzione dell'heap tramite una pagina HTML appositamente predisposta.

Cos'è una CVE?

enter image description here

CVE, acronimo di Common Vulnerabilities and Exposures, è un elenco di falle di sicurezza informatica divulgate pubblicamente. Quando qualcuno fa riferimento a una CVE, intende una falla di sicurezza a cui è stato assegnato un numero ID CVE. Gli advisory di sicurezza emessi da vendor e ricercatori menzionano quasi sempre almeno un ID CVE. Le CVE aiutano i professionisti IT a coordinare i propri sforzi per dare priorità e affrontare queste vulnerabilità al fine di rendere i sistemi informatici più sicuri. fonte

Vulnerabilità di Google Chrome

Il team di Chrome ha pubblicato un annuncio a marzo 2021 in cui si afferma che se utilizzi Google Chrome su uno qualsiasi dei tuoi dispositivi, è urgente aggiornarlo immediatamente. Ci sono frequenti aggiornamenti di Google Chrome, ma la patch più recente, la build stabile 89.0.4389.90, corregge diverse vulnerabilità, tre delle quali hanno un livello di gravità elevato, e una delle quali è già stata sfruttata da criminali informatici e hacker. fonte Era una delle vulnerabilità con livello di gravità elevato chiamata CVE-2021-21193. Si tratta di una vulnerabilità nel motore del browser di Google Chrome, Blink, il componente principale responsabile della conversione del codice HTML nelle pagine Web ben progettate che sei abituato a navigare. Questo problema influisce su alcune elaborazioni non identificate nel componente Blink e la manipolazione con un input sconosciuto porta a una vulnerabilità di corruzione della memoria. Questa vulnerabilità, sfruttata da malintenzionati, suggerisce che tutti gli utenti devono aggiornare alla versione 89.0.4389.90. Si tratta di una vulnerabilità use-after-free, il che significa che Blink aveva problemi a liberare la memoria. fonte

Un po' di informazioni sull'attacco

La debolezza è stata divulgata il 05/03/2021. Non è richiesta alcuna forma di autenticazione per uno sfruttamento riuscito, ma richiede che la vittima compia una qualche forma di interazione con l'utente. C'è anche un prezzo stimato per un exploit di circa $5k-$25k USD, calcolato il 28/03/2021. https://vuldb.com/?id.170687

Use after free

Sebbene possa sembrare banale e scontato, le conseguenze più comuni di una vulnerabilità use-after-free sono la corruzione dei dati e l'esecuzione arbitraria di codice, che, secondo la descrizione della vulnerabilità CVE-2021-21193 nel National Vulnerability Database, può consentire "a un attaccante remoto di sfruttare potenzialmente la corruzione dell'heap tramite una pagina HTML appositamente predisposta." fonte

Cos'è un Use-After-Free e come si verifica?

Use-After-Free (UAF) è una vulnerabilità legata all'uso errato della memoria dinamica durante il funzionamento del programma. Se dopo aver liberato una posizione di memoria, un programma non cancella il puntatore a quella memoria, un attaccante può usare l'errore per hackerare il programma.

Le vulnerabilità UAF derivano dal meccanismo di allocazione dinamica della memoria. A differenza dello stack, la memoria dinamica (nota anche come heap) è progettata per memorizzare grandi quantità di dati. I programmatori possono allocare blocchi di dimensioni arbitrarie al suo interno, che i task all'interno di un programma possono poi modificare o liberare e restituire all'heap per un uso successivo da parte di altri task nello stesso programma.

I programmi devono verificare continuamente quali aree dell'heap sono libere e quali sono occupate, poiché la memoria dinamica viene riallocata spesso. Gli header aiutano facendo riferimento alle aree di memoria allocate. L'indirizzo iniziale del blocco appropriato è contenuto in ciascun header. I bug UAF sorgono quando i programmi non gestiscono correttamente questi header.

Come si verificano i bug UAF?

I puntatori in un programma fanno riferimento a set di dati nella memoria dinamica. Se un set di dati viene eliminato o spostato in un altro blocco ma il puntatore, invece di essere cancellato (impostato a null), continua a fare riferimento alla memoria ora liberata, il risultato è un puntatore pendente (dangling pointer). Se il programma alloca poi questo stesso blocco di memoria a un altro oggetto (ad esempio, dati inseriti da un attaccante), il puntatore pendente farà ora riferimento a questo nuovo set di dati. In altre parole, le vulnerabilità UAF consentono la sostituzione del codice.

Sfruttare gli UAF

Un attaccante può usare gli UAF per passare codice arbitrario, o un riferimento ad esso, a un programma e navigare fino all'inizio del codice utilizzando un puntatore pendente. In questo modo, il criminale informatico può ottenere il controllo del sistema della vittima eseguendo codice dannoso. fonte

Un ricercatore di sicurezza anonimo ha segnalato CVE-2021-211193 il 9 marzo, e Google ha pubblicato in fretta una correzione in soli tre giorni. Questa fretta potrebbe essere attribuibile allo sfruttamento della vulnerabilità nel mondo reale; i criminali hanno già utilizzato la vulnerabilità, e questo è motivo sufficiente per tutti di aggiornare Google Chrome al più presto. fonte

Il messaggio principale della vulnerabilità CVE-2021-21193

Google di solito non rilascia informazioni sulle vulnerabilità finché non sono state corrette, e la vulnerabilità CVE-2021-21193 è stata corretta non più di tre giorni dopo essere stata segnalata da un ricercatore di sicurezza anonimo, il che molto probabilmente significa che la vulnerabilità era già stata sfruttata in una situazione reale. Una buona regola pratica è che se un gigante della tecnologia come Google prende sul serio un problema di sicurezza, dovremmo farlo anche noi.

Ma c'è un altro importante messaggio da trarre qui, ovvero che questi giganti della tecnologia, e i loro prodotti, non sono perfetti; come tutti noi, anche loro fanno parte della corsa costante per mantenere sistemi e strumenti sicuri per gli utenti finali come te. È assolutamente fondamentale mantenere il tuo software aggiornato con le ultime patch dei loro sviluppatori, poiché gli aggiornamenti più recenti sono quelli progettati per ridurre al minimo la minaccia di minacce informatiche in rapida evoluzione e avanzamento. fonte

Link utili:

https://vuldb.com/?id.170687