Riassunto:
Mentre l'ambiente delle minacce di rete diventa sempre più complesso e i controlli del codice sottostante si intensificano, i due principali browser Web del mondo, Google Chrome e Firefox Mozilla Firefox, hanno recentemente lanciato le ultime versioni contenenti un gran numero di patch di sicurezza. In questo ciclo di aggiornamento i due browser hanno corretto complessivamente 115 difetti di sistema e rischi per la sicurezza, innescando nuove accese discussioni nella comunità tecnologica sul fenomeno del "patch fatigue" dovuto agli aggiornamenti ad alta frequenza.
In questo ciclo di manutenzione della sicurezza su larga scala, Mozilla ha condotto un'intensa attività di risoluzione dei problemi per il suo browser Firefox e ha risolto decine di potenziali rischi e vulnerabilità logiche nel motore di rendering di rete Gecko, nell'ambiente di esecuzione JavaScript e nella pipeline di decodifica multimediale, inclusi diversi difetti ad alto rischio che potrebbero essere sfruttati dagli aggressori per attivare l'esecuzione di codice in modalità remota o la perdita di dati tra siti. Allo stesso tempo, il team di Google Chrome e la comunità open source di Chromium dietro di esso hanno anche completato un enorme elenco di patch, concentrandosi sull'eliminazione di una serie di vulnerabilità di sicurezza ad alto e medio rischio coinvolte nel motore di rendering Blink, nel modulo di esecuzione degli script V8 e nella sandbox di autorizzazione sottostante, incluso l'accesso fuori dai limiti della memoria, Use-After-Free e confusione di tipo.
Negli ultimi anni, per far fronte agli attacchi di sfruttamento delle vulnerabilità zero-day sempre più subdoli, i principali produttori di browser hanno generalmente compresso il ciclo di iterazione della versione e adottato un meccanismo di push incrementale delle patch ad altissima frequenza. Tuttavia, frequenti richieste di aggiornamento di riavvio, installazione silenziosa in background e possibili problemi occasionali di compatibilità delle estensioni hanno generalmente dato origine alla cosiddetta mentalità di "affaticamento delle patch" tra gli amministratori tecnici e gli utenti ordinari, e hanno persino portato alcuni utenti a scegliere di posticipare o ignorare le richieste di aggiornamento del sistema per lungo tempo.
Gli esperti di sicurezza informatica hanno messo in guardia da questo, sottolineando che i moderni browser web, in quanto primo portale digitale verso Internet, trasportano l'analisi complessa del codice di rete esterno e le interazioni di rete più frequenti e sono sempre stati il principale punto di svolta per gli hacker malintenzionati per costruire catene di attacchi. Sebbene la portata delle riparazioni per le oltre 100 vulnerabilità bloccate congiuntamente da Chrome e Firefox questa volta sia enorme, la maggior parte di esse rappresentano linee di difesa tecnica chiave per prevenire i problemi prima che si verifichino. Una volta disassemblate e analizzate al contrario da aggressori malintenzionati e trasformate in payload di exploit automatizzati, le versioni precedenti dei client che non hanno seguito le patch in modo tempestivo saranno direttamente a rischio di esposizione.
Le principali agenzie di sicurezza esortano vivamente tutti gli utenti Windows, macOS e Linux a verificare attivamente e completare la distribuzione degli aggiornamenti tramite il menu "Informazioni" integrato nel browser il prima possibile per garantire che l'ambiente di navigazione della rete locale sia in esecuzione sulla base di sicurezza più recente per resistere a potenziali attacchi di codice, override di autorizzazioni e minacce di furto di dati sensibili.
Commenti