Google опублікувала баг для зламу браузера, який не вирішують вже майже 3 роки

Google випадково оприлюднила код експлойта для вразливості у браузері Chromi­um, про яку компанію повідомили ще наприкінці 2022 року. Проблема зачіпає мільйони користувачів Chrome, Microsoft Edge, Brave, Opera, Vival­di та Arc — усіх браузерів на рушії Chromi­um. Fire­fox та Safari до цієї вразливості невразливі.

В основі атаки — API фонового завантаження (Back­ground Fetch), призначений для скачування великих файлів у фоновому режимі. Зловмисник через цей механізм запускає на пристрої жертви фоновий процес — сервіс-воркер, який залишається активним постійно. Залежно від браузера з’єднання або відновлюється, або зберігається навіть після перезавантаження пристрою — і все це ініціюється кодом зі шкідливого сайту.

Пристрій фактично стає частиною обмеженого ботнету: він може відвідувати шкідливі ресурси, працювати як анонімний проксі-сервер, брати участь у DDoS-атаках та відстежувати активність користувача. За умови масштабування експлойт здатен об’єднати тисячі й навіть мільйони пристроїв.

Вразливість виявила незалежна дослідниця Ліра Ребейн (Lyra Rebane) і конфіденційно повідомила про неї Google. За її словами, скористатися експлойтом відносно просто, хоча масштабування потребує додаткових зусиль. Двоє розробників Chromi­um присвоїли проблемі рівень критичності S1 — другий за серйозністю.

Протягом 29 місяців вразливість залишалася невідомою за межами команди Chromi­um. У середу вранці вона з’явилася у відкритому баг-трекері проєкту. Ребейн спочатку вирішила, що проблему нарешті усунули, але патч так і не вийшов. Google видалила публікацію, проте вона разом із кодом експлойта досі доступна на архівних сайтах. Компанія не відповіла на запит щодо причин затримки та строків виправлення.

Ребейн зазначила, що тривалі затримки з патчами — не рідкість, але цього разу термін виявився рекордним. На її думку, причина в тому, що вразливість не порушує звичних меж безпеки й не дає прямого доступу до пошти чи файлів комп’ютера — через це відповідальні співробітники Google не змогли повною мірою оцінити масштаб загрози.

Виявити експлойт складно: недосвідчений користувач, найімовірніше, спише незрозумілу поведінку браузера на дрібний збій. За даними внутрішніх логів, функція фонового завантаження використовується в Chrome мінімально — у середньому близько 17 файлів на користувача на день, що розробники вважають підтвердженням відсутності масштабної експлуатації. Ребейн рекомендує користувачам Chromi­um-браузерів звертати увагу на вікна завантажень, які з’являються без видимої причини.