Chrome 釋出重大漏洞的修補，但截至11/17止仍有83%的使用者尚未更新修補版本 Menlo Security的隔離技術可以幫您防禦這波攻擊

透過Chrome網路瀏覽器已能將整個世界放在我們的設備上-可以通過強大的體驗輕鬆地進行搜索。我們在網路瀏覽器，電子郵件和共享文件中進行工作。我們必須確保Chrome入口點的安全，確保惡意行為者無法發起攻擊，更不用說進行攻擊了。簡而言之，Chrome對於完成業務至關重要，因為全球將近三分之二的設備都在使用Chrome。

自1990年代首款瀏覽器問世以來，它們一直是引誘惡意行為者的目標。隨著瀏覽器的發展，駭客利用其漏洞的方式也有所不同。過去，攻擊者可以利用次要功能利用漏洞，並在整個軟體間橫向傳播。現在，一旦駭客入侵，他們就必須找到移動的方法-通過嘗試訪問設備的核心操作系統（OS）或劫持瀏覽器進程。

這種不斷擴大的威脅面要求用戶不斷修補其瀏覽器，以防止這些漏洞被利用。考慮到瀏覽器的針對性強且包含許多功能，因此定期發布許多修補程序，在某些情況下會造成修補程序疲勞。在過去的五個星期中，GOOGLE發布了修補，CISA表示該修補程序正在被ZERO-DAY攻擊積極利用。但是，大多數組織和用戶尚未修補其瀏覽器。

CVE將如何影響我？

前三個CVE（在下面的數字1和2中）旨在影響瀏覽器的rendering過程，並被歸類為ZERO-DAY：

CVE-2020-16009和CVE-2020-16013使攻擊者能夠訪問瀏覽器。具體而言，該漏洞使惡意JavaScript（JS）脫離了運行時創建的沙箱，從而使攻擊者能夠在Chrome 的rendering過程中執行本機代碼。

CVE-2020-15999涉及在用戶訪問的網站上使用字體。解析下載字體的過程使駭客可以訪問瀏覽器。

CVE-2020-16017允許攻擊者控制瀏覽器進程，然後可開啟位於設備上的文件。

CVE-2020-16010允許攻擊者控制Android設備上的瀏覽器進程，以開啟位於移動設備上的文件。

 

Menlo Labs發現，截至11月17日，客戶們正在使用49種不同版本的Chrome。近三分之二（61％）的用戶運行的是最新版本（.86），而四分之一（28％）的用戶正在運行先前的版本（.85）。在運行.86的客戶中，驚人的83％正在運行易受攻擊的Chrome版本（

下圖顯示了截至11月17日在Menlo平台上看到的排名前五的Chrome 86版本。數據顯示，即使該修補程序版本的瀏覽器可用超過六天，客戶仍不會運行這些版本。不幸的是，這是我們從行業中看到的持續趨勢，客戶不會即時更新最新版本。但實際上，人們還有其他優先事項和資源需要考慮（尤其是在COVID-19的背景下）。

Chrome團隊使公司更容易轉移到最新，最強大的版本，但是，正如我們的Menlo Labs數據所示，客戶出於各種商業原因無法立即更新其瀏覽器。實際上，讓我們進行一次快速檢查。您甚至還記得上次關閉瀏覽器並清除所有設備上的cookie的時候嗎？現在，可以在您所有設備上進行擴充，並且很容易看出組織要想出辦法來確保用戶的瀏覽器已更新並修補到企業標準是多麼困難。

Menlo Security提供了替代方法：

Menlo對我們客戶的最大價值之一就是保護他們免受基於瀏覽器的ZERO-DAY攻擊。我們無需檢測網站的影響，查看危害指標（IOC）或增加更多Menlo Isolation的引擎。由Menlo Isolation支持的Cloud Security Platform將rendering過程從端點移開，在攻擊者試圖利用此漏洞之前就切斷了任何訪問權限。

保護上鎖的房間：

CVE-2020-16009和CVE-2020-16013：觸發漏洞需要執行JavaScript。Menlo客戶受到完全保護，因為端點上從未執行過任何活動內容。我們不會選擇性地選擇要隔離的內容或對象，我們只會隔離所有流量。

CVE-2020-15999：攻擊者無法在端點上執行活動內容，因此很難擊敗其他OS保護機制。儘管攻擊者可能會導致客戶端瀏覽器崩潰，但實際上無法成功利用它。

阻擋攻擊

CVE-2020-16017和CVE-2020-16010：隔離可防止攻擊者在瀏覽器中生存，從而阻止他們到達嘗試利用此漏洞的地步。

 

隔離可以解決修補問題

Menlo的瀏覽器隔離可以自動保護企業免受這些攻擊，即使沒有更新或修補瀏覽器也是如此。而且，由於Menlo是一項雲端安全服務，因此無論底層硬體，操作系統，瀏覽器或網路連接如何，Menlo都能保護包括移動設備在內的所有設備。我們的客戶可能正在運行未修補或過時的Chrome版本，但由於受到互聯網的隔離，他們仍然受到保護。

與我們聯繫，以了解有關CVE的更多信息，以及如何使用Menlo的雲端安全隔離平台來幫助解決您的惡夢。

 

原文連結：https://www.menlosecurity.com/blog/chrome-gets-patched-again-but-83-of-users-arent-running-the-latest-version?utm_medium=email&_hsmi=100357403&_hsenc=p2ANqtz-8_T0ZIQ1DdQMFCDWVTdRU6tdzU9_rVSebd7Etvb7oK42B5LI-h3IZtVmiS_kuw5d8WNgCnSCxeJuKhE17ljcw_AiJD7A&utm_content=100357403&utm_source=hs_email