Oprava Chrome řeší problém jen částečně, spustitelné soubory jsou stále rizikem

Společnost Google již asi před měsícem zveřejnila opravu svého prohlížeče Chrome; zranitelnost umožňovala podvodně podstrčit k automatickému stažení a spuštění škodlivý kód (tzv. carpet bomb). Podle amerického Computerworldu je ale problém v tom, že oprava nebyla zařazena do systému automatické aktualizace, takže řada uživatelů dále používá nezabezpečený prohlížeč (respektive to závisí také na tom, zda se používá „normální“ verze nebo verze developer). K dispozici je i postup zneužití, který pro zmatení uživatele a podstrčení kódu používá Javu – dalo by se říci, že chyba byla tedy původně v návrhu uživatelského rozhraní.

Viz také:
Google vydává první opravy Chrome
První bezpečnostní chyby v Google Chrome: buffer overflow při ukládání stránky

Chrome ve verzi 0.3.154.3, která byla uvolněna minulý týden, mění způsob, jak prohlížeč zachází se spustitelnými soubory typu EXE, BAT nebo DLL.
Tyto soubory jsou nyní ukládány s názvy typu unconfirmed_*.download a jsou automaticky smazány při ukončení prohlížeče. Chce-li uživatel soubor uložit s původním názvem/příponou, musí tuto akci v dialogu výslovně potvrdit.
Výzkumníci citovaní americkým Computerworldem ovšem uvádějí, že řešení od Googlu je jen dočasné a netýká se podstaty problému, takže podobný typ zranitelnosti se může objevit znovu. Například upozorňují, že při stažení se v nějaké podobě zachová původní jméno souboru, takže útočníci se mohou pokoušet na něj dále odkazovat (byť soubor s jinou koncovkou teď už není v pravém slova smyslu spustitelný a je třeba použít nějaké další triky; stále ale má příslušnou hlavičku a lze ho spustit třeba z příkazového řádku). Potíž může být i v tom, že soubory se smažou po regulérním ukončení prohlížeče. Pokud ale Chrome zhavaruje, mohou na disku za určitých okolností zůstat.
Možná by bylo nejbezpečnější spustitelné soubory automaticky nestahovat vůbec.

Zdroj: Computerworld.com