Google은 증가된 in-wild 익스플로잇을 설명합니다.
3 분. 읽다
에 게시됨
이 기사 공유
이 가이드를 개선하세요
공개 페이지를 읽고 MSPoweruser가 편집팀을 유지하는 데 어떻게 도움을 줄 수 있는지 알아보세요. 자세히 보기
최근 크롬 블로그에서 'CVE-1234-567에 대한 익스플로잇이 야생에 존재한다'라는 문구가 증가한 것으로 보인다. 대부분의 Chrome 사용자에게는 당연히 놀라운 일입니다. 그러나 익스플로잇의 증가가 실제로 우려스러울 수 있지만 Chrome Security는 이러한 추세가 익스플로잇에 대한 가시성이 증가했음을 나타내는 것일 수도 있다고 설명했습니다. 그래서, 그것은 무엇입니까?
추세는 두 가지 이유로 인해 발생할 수 있습니다. 블로그에서 Chrome 보안의 Adrian Taylor 이것에 대한 몇 가지 오해를 명확히하기 위해.
Project Zero는 WebKit, Internet Explorer, Flash, 파이어 폭스, 크롬.
Chrome에서 이러한 악용의 증가는 2019년에서 2021년 사이에 상당히 눈에 띄게 나타났습니다. 반대로 2015년에서 2018년까지 Chrome에서 기록된 제로데이 버그는 없었습니다. Chrome Security는 이것이 완전히 악용이 '없음'을 의미하지는 않을 수 있음을 분명히 합니다. 이 기간 동안 Chromium 기반 브라우저에서. 활성 악용에 대한 완전한 보기가 없고 사용 가능한 데이터에 샘플링 편향이 있을 수 있음을 인식합니다.
그렇다면 왜 지금 많은 익스플로잇이 있습니까? Chrome Security는 공급업체 투명성, 진화된 공격자 초점, 사이트 격리 프로젝트 완료, 복잡성과 소프트웨어 버그의 관계 등 XNUMX가지 가능한 이유로 이를 설명합니다.
첫째, 많은 브라우저 제조업체는 이제 릴리스 커뮤니케이션을 통해 이러한 악용에 대한 세부 정보를 게시합니다. 이것은 브라우저 제작자가 버그를 알고 있음에도 불구하고 버그가 공격 받고 있다고 발표하지 않은 과거의 관행이 아니 었습니다.
둘째, 공격자 중심의 진화가 있습니다. 2020년 초 Edge는 Chromium 렌더링 엔진으로 전환했습니다. 당연히 공격자는 가장 인기 있는 대상으로 이동합니다. 그러면 더 많은 사용자를 공격할 수 있기 때문입니다.
셋째, 버그의 증가는 다년간의 사이트 격리 프로젝트가 최근 완료되어 하나의 버그가 많은 피해를 입히기에는 거의 충분하지 않기 때문일 수 있습니다. 따라서 과거에는 하나의 버그만 필요했던 공격이 이제는 더 많은 버그가 필요했습니다. 2015년 이전에는 여러 웹 페이지가 단일 렌더러 프로세스에만 있었기 때문에 단일 버그로 다른 웹에서 사용자 데이터를 훔칠 수 있었습니다. 사이트 격리 프로젝트에서 추적기는 렌더러 프로세스를 손상시키고 Chrome 브라우저 프로세스 또는 운영 체제로 도약하기 위해 두 가지 이상의 버그를 연결해야 합니다.
마지막으로, 이것은 소프트웨어에 버그가 있고 그 중 일부가 악용될 수 있다는 단순한 사실 때문일 수 있습니다. 브라우저는 운영 체제의 복잡성을 반영하며 복잡성이 높을수록 더 많은 버그가 발생합니다.
이는 악용된 버그의 수가 보안 위험의 정확한 척도가 아님을 의미합니다. 그러나 Chrome 팀은 릴리스 전에 버그를 감지하고 수정하기 위해 열심히 노력하고 있음을 확인합니다. n-day 공격(이미 수정된 버그에 대한 악용) 측면에서 Chrome에서는 "패치 간격"이 35일에서 현저하게 감소했습니다(평균 76일에서 18일). 그들은 또한 이것을 더 줄이기를 기대하고 있습니다.
그럼에도 불구하고 Chrome은 실제 악용을 수정하려는 속도에 관계없이 이러한 공격이 나쁘다는 것을 인식했습니다. 따라서 그들은 공격을 비용이 많이 들고 적에게 복잡하게 만들기 위해 정말 열심히 노력하고 있습니다. Chrome이 수행하는 특정 프로젝트에는 Site Isolation의 지속적인 강화, 특히 안드로이드용, V8 힙 샌드박스, MiraclePtr 및 스캔 프로젝트, 메모리 안전 언어 새로운 Chrome 부품 작성 및 악용 후 완화.
Chrome은 이러한 주요 보안 엔지니어링 프로젝트를 통해 보안을 보장하기 위해 열심히 노력하고 있습니다. 하지만 사용자는 도움이 되는 간단한 작업을 수행할 수 있습니다. Chrome에서 업데이트하라는 메시지가 표시되면 업데이트하십시오.
