Isu Keselamatan Awal Mencuri Google Chrome

Penyelidik keselamatan telah melaporkan mencari kelemahan di Google pelayar web baru sehari selepas ia dikeluarkan dalam beta.

Satu kelemahan akan membolehkan peretas untuk meranapkan penyemak imbas. Penyelidik keselamatan Rishi Narang menyifatkan isu tersebut di laman web SecuriTeam dan mempamerkan bukti konsep di Evilfingers. Menurut Narang, penggodam boleh membina pautan yang berniat jahat yang merangkumi penangan undefined yang diikuti oleh watak tertentu. Apabila pengguna mengklik pada pautan, Chrome terhempas.

Satu lagi, kerentanan yang berpotensi lebih serius boleh mengakibatkan pengguna Chrome memuatkan kod jahat. Masalahnya, sebahagiannya, kepada fakta bahawa Google menggunakan versi WebKit yang lebih lama, teknologi pelayar sumber terbuka yang juga digunakan dalam pelayar Safari Apple, termasuk kerentanan.

Ditemui oleh penyelidik Aviv Raff, masalahnya terletak dalam cara Chrome memuat turun fail dan cara Windows mengendalikan fail yang dimuat turun, katanya.

Tetapan lalai Chrome mengunduh fail ke dalam folder. Ia kemudian memaparkan bar muat turun di bahagian bawah halaman penyemak imbas. Pengguna klik pada bar untuk membuka fail. Jika fail itu boleh dieksekusi, Windows memaparkan amaran, yang boleh membantu pengguna mengelakkan secara tidak sengaja memuat turun kod berniat jahat.

Jika fail itu adalah JAR (Arkib Java), namun ia tidak diperlakukan seperti executable lain, kata Raff. Apabila pengguna mengklik pada bar muat turun itu, bukannya memaparkan amaran, Windows secara automatik menjalankan fail tersebut.

Masalah itu diperburuk dengan cara bar muat turun kelihatan, kata Raff. Bar kelihatannya menjadi sebahagian daripada halaman Web. Dalam bukti konsep yang dipaparkan oleh Raff, pengguna mungkin menganggap ia mengklik pada pautan atau butang pada halaman, bukannya membuka fail yang dimuat turun.

"Ini sekali lagi merupakan satu ancaman yang 'dicampur', "tulisnya dalam jawatan blog. "Dua masalah kecil dalam produk yang berbeza, apabila dicampur bersama, mencipta masalah yang lebih besar."

Dia berfikir Google mungkin menghadapi masalah lain yang serupa di masa depan kerana Chrome menggunakan teknologi dari pelayar yang berbeza, termasuk Safari Apple dan Firefox Mozilla.

"Keamanan bijak, ia sangat bermasalah," tulis Raff. "Mereka perlu mengesan semua kelemahan keselamatan dalam ciri-ciri tersebut, dan membetulkannya di Chrome juga.Ini mungkin hanya selepas kelemahan tersebut ditetapkan oleh vendor lain atau dilaporkan secara terbuka.Ia akan meletakkan pengguna Chrome berisiko untuk jangka panjang masa. "

Google tidak menjawab soalan tentang kelemahan ini secara langsung atau sama ada ia merancang untuk membuat apa-apa perubahan kepada Chrome untuk mengelakkan sebarang masalah yang berpotensi. Sebaliknya, jurucakap Google berkata dalam satu kenyataan bahawa, secara lalai, Chrome memuat turun fail ke dalam folder berasingan dan bukan pada desktop pengguna sebagai cara untuk mengelakkan beberapa masalah keselamatan. Selain itu, katanya, pengguna boleh menetapkan penyemak imbas untuk bertanya di mana hendak menyimpan setiap fail sebelum memuat turunnya.

Dia juga tidak mengatakan sama ada Google berhasrat untuk menaik taraf ke versi WebKit yang lebih baru, yang menangani masalah dengan memaparkan kotak dialog untuk fail JAR yang meminta pengguna jika mereka mahu memuat turunnya.