Miało być zamknięcie zgłoszenia, wyszedł poradnik ataku. Miliony użytkowników Chromium zostały z otwartą furtką

Przeglądarki bazujące na Chromium od lat wygrywają wygodą i zgodnością ze współczesnym webem. Tym razem właśnie ten ekosystem stał się problemem. Google przypadkowo opublikowało kod exploita dla luki zgłoszonej jeszcze pod koniec 2022 roku, choć poprawki nadal brak. Nie chodzi przy tym o egzotyczny moduł dla deweloperów, ale o mechanizm zdolny utrzymywać transfer danych nawet po zamknięciu karty przeglądarki.

Google wypuściło do sieci kod ataku na własną, wciąż niezałataną od miesięcy lukę w Chromium. To kompromitująca wpadka i kolejny dowód, że monokultura przeglądarek ma bardzo realną cenę.

Nowe obejście BitLockera w Windows 11 i Windows Server 2022/2025. Wystarczy fizyczny dostęp oraz nośnik USB

Sedno problemu związanego z tym exploitem tkwi w mechanizmie Background Fetch API. Rozwiązanie to pozwala przeglądarce dokańczać pobieranie dużych plików niezależnie od życia pojedynczej karty, dlatego dokumentacja MDN Web Docs i materiały Google opisują scenariusze, w których transfer trwa po opuszczeniu strony, a na części platform nawet po zamknięciu przeglądarki. Badaczka Lyra Rebane wykazała jednak, że ten sam mechanizm może zostać wykorzystany do utrzymywania długiego połączenia z serwerem kontrolowanym przez atakującego. Z perspektywy użytkownika problem wygląda niepokojąco łatwo. Nie trzeba instalować rozszerzenia ani pobierać podejrzanego pliku, bo w niektórych scenariuszach wystarczy samo wejście na odpowiednio przygotowaną stronę.

Druga poważna luka w jądrze Linux w dwa tygodnie. Dirty Frag rozszerza klasę błędów znaną z Dirty Pipe i Copy Fail

Skutek nie wygląda widowiskowo, ale właśnie to czyni go potencjalnie groźnym. Przeglądarka może zostać wykorzystana jako anonimowe proxy, pomagać w atakach DDoS albo ujawniać część aktywności użytkownika bez jego wiedzy. To nadal nie jest scenariusz pełnego przejęcia systemu, jednak przy skali przeglądarek takich jak Google Chrome, Microsoft Edge, Brave, Opera czy Vivaldi problem przestaje wyglądać jak techniczna ciekawostka. Serwis Ars Technica podaje, że luka pozostawała nierozwiązana przez 29 miesięcy mimo wewnętrznej klasyfikacji S1, czyli jednej z najwyższych. I właśnie tutaj wraca motyw dobrze znany po historii z 0.0.0.0 Day. Błędy w przeglądarkach mogą latami pozostawać na drugim planie, jeśli nie prowadzą od razu do spektakularnego zdalnego wykonania kodu.

Złośliwe wydanie elementary-data trafiło do PyPI. Błąd w GitHub Actions otworzył drogę do kradzieży tokenów i kluczy

Na tle konkurencji najgorzej wypada rodzina Chromium, bo wspólny silnik po raz kolejny rozlewa jeden problem na ogromną część rynku przeglądarek. Krótkoterminowo użytkownik ma niewielkie pole manewru, czyli może zachować ostrożność wobec podejrzanych stron i czekać na poprawkę. Długofalowo problem wygląda jednak poważniej, bo Google nie tylko nie dostarczyło łatki przez ponad dwa lata, ale dodatkowo omyłkowo opublikowało publiczny kod PoC dla exploita. Tego typu sytuacje potrafią podkopać zaufanie do całego procesu bezpieczeństwa znacznie mocniej niż kolejny komunikat o pilnej aktualizacji.