Az eset azért különösen jelentős, mert a Chromium motorra épül a világ legnépszerűbb böngészőinek többsége.
A globális böngészőpiacot érintő komoly biztonsági incidens bontakozott ki, miután a Google véletlenül nyilvánosságra hozta egy még javítatlan Chromium sérülékenység proof-of-concept (PoC) exploit kódját.
Érintett böngészők:
- Google Chrome
- Microsoft Edge
- Brave
- Opera
- Vivaldi
- Arc
Mi a sérülékenység lényege?
A hiba a Chromium Browser Fetch API komponensét érinti.
Ez a funkció arra szolgál, hogy:
- nagy fájlok letöltése folytatódhasson,
- videók vagy telepítők letöltése ne szakadjon meg,
- a letöltés akkor is fusson, ha a felhasználó bezárja az adott weboldalt.
A kutatók szerint azonban ez a mechanizmus visszaélésre is alkalmas.
Egy rosszindulatú weboldal:
- Service Worker folyamatot indíthat,
- tartós kapcsolatot tarthat fenn,
- a böngésző újraindítása után is aktív maradhat,
- bizonyos esetekben akár a rendszer újraindítása után is folytathatja működését.
Mit tud tenni a támadó?
A jelenlegi információk szerint a sérülékenység:
❌ nem ad rendszergazdai jogot
❌ nem telepít hagyományos malware-t
❌ nem lop közvetlenül jelszavakat
Viszont lehetőséget biztosíthat:
- anonim proxyként használni a gépet
- DDoS támadásokban részt venni
- hosszú ideig fenntartott kapcsolatokat létrehozni
- felhasználói aktivitás bizonyos elemeinek figyelésére
- későbbi támadások infrastruktúrájaként szolgálni
A legnagyobb veszélyt a skálázhatóság jelenti.
Ha egy népszerű weboldal kompromittálódik, vagy egy rosszindulatú oldal sok látogatót vonz, akkor nagyszámú böngésző válhat egy rejtett hálózat részévé.
Miért nehéz felismerni?
A támadás nem hagy klasszikus nyomokat:
- nincs EXE fájl
- nincs telepítő
- nincs vírusirtó riasztás
- nincs jogosultság-emelés
Ezért számos EDR és antivírus megoldás nem feltétlenül érzékeli.
A kutatók szerint:
Edge esetén
Megjelenhet egy rövid letöltési értesítés.
Chrome esetén
A felhasználó időnként szokatlan letöltési értesítéseket láthat.
A legtöbben ezt egyszerű böngészőhibának tekinthetik.
Miért különösen kellemetlen a Google számára?
A biztonsági iparágban általános szabály:
- Sérülékenység felfedezése
- Gyártó értesítése
- Javítás elkészítése
- Javítás kiadása
- Technikai részletek publikálása
Ebben az esetben azonban az exploit kód a javítás előtt vált elérhetővé.
Ez jelentősen csökkenti a támadók technikai belépési küszöbét.
A szakma emiatt több kérdést is feltesz:
- Miért került nyilvánosságra?
- Véletlen vagy folyamatbeli hiba történt?
- Mikor érkezik a javítás?
- Van-e már aktív kihasználás?
Ezekre jelenleg nincs hivatalos válasz.
Firefox és Safari érintett?
Nem.
Az alábbi böngészők nem érintettek:
- Mozilla Firefox
- Safari
Mivel nem ugyanazt a Browser Fetch API implementációt használják.
Mit jelent ez a vállalati környezetek számára?
A probléma rávilágít a Chromium-monokultúra kockázatára.
Ma a vállalati környezetek jelentős része:
- Chrome-ot használ,
- Edge-et használ,
- Chromium-alapú böngészőket futtat.
Ez azt jelenti, hogy egyetlen Chromium sérülékenység:
- több milliárd eszközt érinthet,
- egyszerre jelenhet meg vállalati és lakossági környezetben,
- nagy hatással lehet a teljes internetes ökoszisztémára.
Mit érdemes most tenni?
Felhasználóknak
✅ Böngésző folyamatos frissítése
✅ Ismeretlen oldalak kerülése
✅ Szokatlan letöltési értesítések figyelése
✅ Chrome és Edge biztonsági frissítések követése
Vállalatoknak
✅ Böngészőfrissítések sürgős telepítése, amint elérhetők
✅ Service Worker aktivitások monitorozása
✅ Proxy-forgalom elemzése
✅ Böngészőszintű anomáliák figyelése
✅ Internetes böngészési naplók fokozott ellenőrzése
Összegzés
Ez az incidens nem azért jelentős, mert azonnali rendszerszintű kompromittálást tesz lehetővé, hanem azért, mert:
- a javítás előtt nyilvánosságra került az exploit,
- a Chromium-alapú böngészők többségét érintheti,
- potenciálisan nagyszámú eszközből alakíthat ki rejtett proxyhálózatot,
- rámutat a böngészők egyre növekvő támadási felületére.
A jelenlegi legfontosabb védekezés:
minden Chromium-alapú böngészőt naprakészen tartani, és figyelni a Google által kiadandó sürgősségi javítást.
