- V prohlížeči Chrome odhalili znepokojivou chybu.
- Google o ní ví 29 měsíců, opravu však stále nevydal.
V Chromu a téměř ve všech webových prohlížečích využívajících jádro Chromium se nachází kritická chyba, která může váš telefon, notebook nebo stolní počítač proměnit v součást botnetu, informuje server Android Authority. A nejhorší na tom je, že tento problém byl Googlu nahlášen již před lety, ale dodnes nebyl opraven.
Nepřehlédněte: Tak to by byla velká věc. Samsung Galaxy Ultra dorazí v kompaktním provedení
Kritická chyba v Chromu
Problém souvisí s funkcí zvanou Browser Fetch. Jedná se o standard, který umožňuje prohlížeči stahovat soubory na pozadí, aniž by se musela celá stránka znovu načítat. Toto javascriptové rozhraní bylo vytvořeno pro větší pohodlí uživatelů, časem se nicméně ukázalo, že ho útočník může využít k začlenění smartphonu nebo počítače do větší botnetové sítě.
Zranitelnost v rozhraní Browser Fetch objevila před téměř třemi lety bezpečnostní výzkumnice Lyra Rebaneová. Společnost Google o problému ví od roku 2022, ale záplata je stále v nedohlednu. Ještě horší je, že existuje veřejně dostupný exploitový kód typu proof-of-concept, který byl vytvořen za účelem demonstrace této zranitelnosti. Kdokoli se základními znalostmi o IT bezpečnosti jej může využít k celé řadě škodlivých činností.
A děsivé je rovněž i to, že si do telefonu či počítače nemusíte instalovat žádnou aplikaci, klikat na podezřelá vyskakovací okna ani schvalovat různá oprávnění – stačí jen otevřít webovou stránku a už jste v ohrožení.
Oprava neexistuje. Proč to trvá tak dlouho?
Podle Rebaneové Google problému přiřadil označení S1, což odkazuje na interní klasifikaci High Severity (vysoká závažnost) v bezpečnostních pravidlech prohlížeče. A přesto tato zranitelnost stále není opravena. Co je důvodem? Výzkumnice se domnívá, že tato chyba spadá do nepříjemné šedé zóny – není příliš nebezpečná, protože neodhaluje ani nekrade hesla, soubory nebo údaje o kreditních kartách.
Zdroj náhledové fotografie: Firmbee.com / Unsplash, zdroj: Android Authority