213 vulnerabilità corrette, sette delle quali critiche: questo è il bilancio di sicurezza di Chrome 157, la nuova versione stabile per Windows, macOS e Linux. L'aggiornamento semplifica anche la procedura per condividere una scheda dal desktop, anche se la modifica più urgente riguarda le patch. Google assicura che le vulnerabilità risolte non erano state sfruttate al di fuori del laboratorio; i relativi dettagli tecnici sono tuttavia già pubblici.
Sette vulnerabilità critiche e 77 ad alto rischio
La ripartizione pubblicata da SoftZone include sette vulnerabilità critiche, 77 ad alto rischio, 75 a rischio medio e 54 a basso rischio. Quattro delle sette vulnerabilità critiche sono errori use-after-free (UAF), presenti in diversi componenti di Chrome. Nel complesso, questa categoria rappresenta 45 delle 213 vulnerabilità corrette.
Un errore UAF si verifica quando un programma continua a utilizzare un'area di memoria dopo che è stata liberata. Secondo SoftZone, una vulnerabilità di questo tipo può consentire l'esecuzione di codice non autorizzato se un aggressore riesce a sfruttarla. La pubblicazione conta inoltre 13 fughe di dati e 13 errori di confusione di tipo, o type mix-ups, localizzati soprattutto in V8, il motore che Chrome utilizza per elaborare JavaScript.
La presenza di errori in V8 è importante perché il componente interviene nell'esecuzione del codice JavaScript nelle pagine web. SoftZone segnala che i problemi in questo motore possono potenzialmente interessare le pagine che eseguono script complessi. Non attribuisce, tuttavia, lo sfruttamento concreto di nessuna delle vulnerabilità di questo gruppo: secondo quanto comunicato da Google, nessuna era stata sfruttata al di fuori del laboratorio.
Versioni disponibili e provenienza delle segnalazioni
Le build pubblicate sono la 157.0.8103.38 e .39 per Windows e macOS e la 157.0.8103.38 per Linux. Google ha annunciato l'aggiornamento in un post sul canale stabile per desktop, firmato da Srinivas Sista. SoftZone colloca il rilascio al 5 novembre e descrive la pubblicazione come parte del consueto ciclo di patch del browser.
Secondo il conteggio di SoftZone, il team di sicurezza di Google ha individuato 130 delle vulnerabilità. Le restanti sono state segnalate da ricercatori esterni; fino alla data della pubblicazione, l'azienda aveva versato 31.000 dollari in ricompense. Non vengono indicati i nomi dei ricercatori né l'importo associato a ciascuna vulnerabilità.
Il fatto che le vulnerabilità non siano state sfruttate concretamente non elimina la necessità di installare l'aggiornamento. SoftZone avverte che la pubblicazione di dettagli tecnici può facilitare lo sviluppo di un exploit e indica il numero di vulnerabilità ad alto rischio come motivo per verificare la versione installata, anche sui dispositivi che ricevono gli aggiornamenti automaticamente.
Il clic destro invia le schede tra dispositivi
La novità più evidente di Chrome 157 si trova nel menu contestuale delle schede desktop. Facendo clic con il tasto destro su una scheda aperta, si può selezionare «Invia ai miei dispositivi» per inviarla a un altro dispositivo associato allo stesso account Google. In precedenza, il percorso passava dal menu con i tre puntini e dalle opzioni «Trasmetti, salva e condividi» e «Invia ai miei dispositivi».
Per inviare la scheda, è necessario aver effettuato l'accesso con lo stesso account Google sul dispositivo da cui si condivide e su quello che riceve la scheda. Su Android, il gesto descritto è diverso: bisogna aprire la scheda, tenere premuta la barra degli indirizzi e scegliere l'opzione dal menu a discesa. SoftZone precisa che questa funzione mobile è disponibile già da Chrome 77, nel 2019; la novità di questa versione è la scorciatoia con clic destro sul desktop.
Come verificare l'aggiornamento
Chrome installa solitamente gli aggiornamenti in background. Per controllare la versione, si può aprire il menu con i tre puntini, entrare in «Guida» e selezionare «Informazioni su Google Chrome». SoftZone indica anche il percorso «Impostazioni» e poi «Informazioni su Google Chrome». Se il numero della versione installata non corrisponde alla build prevista per il sistema operativo, il browser cercherà l'aggiornamento e lo applicherà al riavvio.
Secondo SoftZone, la versione successiva, Chrome 158, è prevista tra due settimane e arriverà con un altro gruppo di patch di sicurezza. Nel frattempo, le versioni pubblicate con questo aggiornamento sono la 157.0.8103.38 o la 157.0.8103.39, a seconda della piattaforma.
Fonti: SoftZone, Chrome Releases
