На соревновании pwn2own браузер google chrome взломали дважды

В рамках ежегодной конференции CanSecWest проводится соревнование по взлому разных программных окружений. В первоначальный же сутки русский участник Сергей Глазунов показал успешную атаку на актуальную версию Гугл Chrome с применением двух ранее не известных уязвимостей. Корпорация сходу обновила браузер, но это не помогло – некто под ником PinkiePie продемонстрировал ещё один рабочий эксплойт. Итог закономерный, и он только подтверждает идея, что полностью надёжных программ не бывает.

Браузер Гугл по праву считается одним из самых защищённых – хакеры очень редко демонстрируют методы обхода всех уровней его защиты. Сравнительно не так давно в Гугл решили расширить размер вознаграждения за успешный взлом, и эффективность для того чтобы материального стимулирования сходу дала себя знать. Сергей Глазунов сумел воспользоваться уязвимостями в системе работы с дополнениями. Его эксплоит был продемонстрирован на машине с Windows 7 и браузером Chrome со всеми дешёвыми в то время обновлениями. При входе на особым образом организованную страницу разработчику удалось организовать исполнение произвольного кода на целевой совокупности с правами запустившего браузер пользователя. В Гугл отметили высокий уровень качества работы Сергея и дали согласие выплатить ему 60 000 долларов за успешную атаку.

Фактически сходу был выпущен Chrome 17.0.963.78 с устранением найденных россиянином неприятностей, но чуть позднее второй участник показал ещё один эксплоит. PinkiePie (в прессе фигурирует лишь ник исследователя неприятностей безопасности) кроме этого смог обойти все уровни защиты программы, воспользовавшись тремя ранее малоизвестными уязвимостями Chrome (в системе загрузки плагинов и в коде работы с памятью GPU). Его эксплоит разрешает запустить произвольный код с правами пользователя на атакуемой совокупности. В Гугл решили выплатить за успешный взлом ещё 60 000 американских долларов, так призовой фонд в 1 000 000 долларов уменьшился на 120 тысяч. Очевидно, компания сходу выпустила второе обновление с номером версии 17.0.963.79. Технические детали хакер обещает опубликовать по окончании того, как соответствующие исправления внесут в WebKit и другие продукты на его базе. Из этого можно сделать вывод, что неприятности имеется не только в Chrome.

Новости об успешных взломах браузеров на аналогичных конкурсах забавны, но они демонстрируют значительную проблему: пользователи на данный момент более деятельно трудятся с веб-приложениями и разными сложными онлайн-сервисами, чем пара лет назад, а браузеры становятся главными каналами доставки вредоносного кода в атакуемые системы. Попытки сделать эти программы надёжными обречены на провал: дыры в них будут обнаружить в любой момент. И не только на конкурсах. Выход один – заниматься проблемами безопасности комплексно. В первую очередь о том должны позаботиться разработчики ОС – возможно уязвимые программы направляться запускать в изолированном окружении, и их доступ к ресурсам совокупности нужно ограничивать. Кроме этого стоит везде внедрять совокупности мандатного контроля доступа. Тогда и противовирусное ПО не пригодится, тем более что оно не снабжает должного уровня защиты. Через мои руки прошло много автомобилей с актуальными весёлыми семейками и лицензионными антивирусами троянов.

Случайное видео:


Интересные записи: