إصلاح اثني عشرة ثغرةً أمنيةً في جوجل كروم

قامت جوجل بإصلاح اثني عشرة ثغرةً أمنيةً في جوجل كروم، بما في ذلك، ستةٌ من المخاطر البرمجية عالية الخطورة. إن الإصدار الجديد من المتصفح، يشتمل على عددٍ من الإصلاحات للأخطاء البرمجية المُكتشَفة من قِبَل باحثين خارجيين؛ وكذلك من قِبَل فريق الأمن الداخلي الخاص بجوجل.

اثنتان من الثغرات الأكثر خطورةً في جوجل كروم، تشتملان على أخطاءٍ برمجيةٍ يمكن استغلالها بعد تحرير الذاكرة في عناصر مختلفة للمتصفح، ويوجد أيضًا خطآن في قراءة البيانات داخل المتصفح. تم إدراج هذه العيوب بصفتها ذات خطورةٍ عاليةٍ كذلك. ولكن، ربما كان الأكثر إثارةً للاهتمام من الأخطاء البرمجية التي تم إصلاحها في الإصدار الجديد، هي ثغرةٌ متوسطة الخطورة، تتعلق بعملية التفاوض الخاصة بأمن طبقة نقل البيانات (TLS). خلال تلك العملية، فشل جوجل كروم في القيام بالتحقق من بعض الشهادات التي واجهها.

فيما يلي، القائمة الكاملة من الأخطاء البرمجية، التي تم إصلاحها في جوجل كروم 31:

$500][268565] Medium CVE-2013-6621: خطأ برمجي يمكن استغلاله بعد تحرير الذاكرة، متعلق بعناصر إدخال الكلام. مُسجَّل لحساب خليل زهاني.

[$2000][272786] High CVE-2013-6622: خطأ برمجي يمكن استغلاله بعد تحرير الذاكرة، متعلق بعناصر إعلامية. مُسجَّل لحساب cloudfuzzer.

[$500][282925] High CVE-2013-6623: خطأ في قراءة البيانات، في الرسوم المتجهة القابلة للتطوير (SVG). مُسجَّل لحساب miaubiz.

[$1000][290566] High CVE-2013-6624: خطأ برمجي يمكن استغلاله بعد تحرير الذاكرة، متعلق بسلاسل “id” الخاصة بالتلاعب في نصوص جافا. مُسجَّل لحساب جون بتلر.

[$2000][295010] High CVE-2013-6625: خطأ برمجي يمكن استغلاله بعد تحرير الذاكرة، في نطاقات نموذج كائن المستند (DOM). مُسجَّل لحساب cloudfuzzer.

[295695] Low CVE-2013-6626: خداع شريط العنوان المتعلق بالتحذير الخلالي. مُسجَّل لحساب شامال دي سيلفا.

[$4000][299892] High CVE-2013-6627: خطأ في قراءة البيانات، في تحليل بروتوكول نقل النص الفائق ((HTTP.

[$1000][306959] Medium CVE-2013-6628: مسألة تخص الشهادات التي لم يتم التحقق منها، خلال عملية إعادة التفاوض الخاص بأمن طبقة نقل البيانات (TLS). مُسجَّل لحساب Antoine Delignat–Lavaud–KarthikeyanBhargavan من بروسيككو في إنريا بباريس.

• [315823] Medium-Critical CVE-2013-2931: إصلاحات مختلفة من عمليات التدقيق الداخلي، واختبار للمشاكل الأمنية ومبادرات أخرى.
• [258723] Medium CVE-2013-6629: قراءة لذاكرة غير مُهيأة في libjpegو libjpeg-turbo. مُسجَّل لحساب ميكال زاليفسكي من جوجل.
• [299835] Medium CVE-2013-6630: خطأ برمجي يمكن استغلاله بعد تحرير الذاكرة في libjingle. مُسجَّل لحساب باتريك هوغلاند، من مشروع Chromium.

كجزءٍ من برنامج المكافآت لإصلاح الأخطاء البرمجية، دفعت جوجل 11,000 دولار، كمنحٍ لباحثين خارجيين.