Chrome sotto attacco

Aggiornato il 3 settembre con nuove correzioni per vulnerabilità di alta gravità.

Google ha lanciato un allerta riguardo a due vulnerabilità di Chrome che sono attualmente sfruttate attivamente. Il governo degli Stati Uniti ha ordinato a tutti i dipendenti federali di aggiornare i propri browser entro 21 giorni. Microsoft, che ha scoperto e divulgato la prima di queste vulnerabilità, ha persino consigliato agli utenti di "essere incoraggiati" a lasciare Chrome per utilizzare un browser alternativo.

Dettagli sulle vulnerabilità attive

Il 21 agosto, Google ha rilasciato un aggiornamento per Chrome, risolvendo una serie di vulnerabilità e avvertendo che la CVE-2024-7971 era sotto attacco attivo. Il 26 agosto, Google ha aggiornato il proprio avviso, segnalando che anche la seconda vulnerabilità, CVE-2024-7965, era stata presa di mira dopo il primo avviso. CISA ha incluso queste due minacce nel suo catalogo di Vulnerabilità Sfruttate Conosciute (KEV), imponendo aggiornamenti di Chrome entro metà settembre.

Origine delle vulnerabilità

Il team di sicurezza di Microsoft ha scoperto e divulgato la prima delle due vulnerabilità, emettendo un rapporto che avverte che l'attività di sfruttamento è legata a furti di criptovalute, attribuendo "con alta fiducia" tali attacchi a un attore minaccioso nordcoreano noto come Citrine Sleet. Secondo Microsoft, Citrine Sleet "mira principalmente a istituzioni finanziarie e a individui che gestiscono criptovalute, per guadagno finanziario". Questo attore crea siti web falsi che si spacciano per piattaforme di trading di criptovalute legittime, utilizzandoli per distribuire false domande di lavoro o per indurre le vittime a scaricare portafogli o applicazioni di trading malevoli.

Raccomandazioni di sicurezza

Microsoft consiglia di mantenere aggiornati Chrome, Edge e altri browser basati su Chromium, sottolineando che la protezione contro tali exploit "richiede non solo di mantenere i sistemi aggiornati, ma anche soluzioni di sicurezza che forniscano visibilità unificata lungo la catena degli attacchi informatici". Si raccomanda di "incoraggiare gli utenti a utilizzare Microsoft Edge e altri browser web che supportano Microsoft Defender SmartScreen, il quale identifica e blocca siti malevoli, inclusi siti di phishing e truffe".

Microsoft sostiene fermamente che Edge sia più sicuro di Chrome e più probabile che protegga gli utenti da malware. Questa affermazione è supportata dalle critiche ricevute da Microsoft per le sue pubblicità controverse su Edge, che sembrano intensificarsi quando Chrome è impostato come browser predefinito.

Evoluzione della sicurezza di Google

Google ha aggiornato Chrome nuovamente dopo la risoluzione delle vulnerabilità zero-day. L'aggiornamento del 2 settembre porta il canale stabile per Windows e Mac alla versione 128.0.6613.119/.120. Questo aggiornamento risolve due vulnerabilità di alta gravità, entrambe legate a problemi di memoria:

• CVE-2024-8362: vulnerabilità di alta gravità "use after free" in WebAudio.
• CVE-2024-7970: vulnerabilità di alta gravità "out of bounds write" in V8.

Non ci sono avvertimenti di sfruttamento attivo al momento, ma le vulnerabilità di questo tipo possono portare a sfruttamenti attivi, con il potenziale di destabilizzare un sistema o eseguire codice malevolo. Gli attacchi di successo spesso sfruttano una catena di più debolezze.

Situazione del mercato dei browser

Nonostante gli sforzi di Microsoft per convincere gli utenti di Windows a passare da Chrome a Edge, l'impatto sulla base installata è minimo. Secondo Neowin, "Google Chrome è ancora nel suo regno inarrivabile, mentre tutti gli altri browser condividono il resto del mercato... Microsoft Edge, il secondo browser più popolare al mondo, si trova attualmente al 13,78%, solo 0,03 punti in più rispetto al mese precedente".

Ci sono segnali incoraggianti, con la crescita di Edge che ha registrato un incremento anno su anno di 2,63 punti. Tuttavia, Google rimane indifferente alla spinta di Microsoft per far abbandonare Chrome in favore di Edge, sostenuta dalla resilienza della base installata di Chrome. Detto ciò, l'appello di Microsoft ai CISO aziendali per concentrarsi sui browser in uso per difendere meglio una rete aziendale rappresenta un approccio più unificato.

Aggiornare il proprio sistema a questa ultima versione affronta chiaramente le vulnerabilità zero-day; che si decida di passare da Chrome a Edge, è fondamentale mantenere il browser aggiornato, poiché questa ultima minaccia colpisce entrambi i browser e gli attacchi attivi contro sistemi non aggiornati continuano.