출처: http://la-nube.tistory.com/322 [la Nube's Lab. | 라 누베 연구소]
구글(Google)에서 개발하는 크롬(Chrome)의 새로운 기능 추가와 버그 수정 및 보안 취약점 문제를 해결한 크롬 64.0.3282.119 버전이 윈도, 맥OS, 리눅스(64비트)에서 업데이트를 통해 각각 배포되었습니다.
--
이번 크롬 64 업데이트에서는 53개의 보안 취약점에 대한 보안 패치가 포함되어 있습니다. 그 중에서 다음의 보안 취약점은 외부의 연구자에 의해 보고되었고, 그에 따라 최고 4000달러의 상금이 수여됩니다.
[$3000] High CVE-2018-6031: Use after free in PDFium.
Reported by Anonymous on 2017-11-01
[$2000] High CVE-2018-6032: Same origin bypass in Shared Worker.
Reported by Jun Kokatsu (@shhnjk) on 2017-11-20
[$1000] High CVE-2018-6033: Race when opening downloaded files.
Reported by Juho Nurminen on 2017-12-09
[$4000] Medium CVE-2018-6034: Integer overflow in Blink.
Reported by Tobias Klein (www.trapkit.de) on 2017-11-12
[$2500] Medium CVE-2018-6035: Insufficient isolation of devtools from extensions.
Reported by Rob Wu on 2017-12-23
[$2000] Medium CVE-2018-6036: Integer underflow in WebAssembly.
Reported by The UK's National Cyber Security Centre (NCSC) on 2017-11-30
[$1000] Medium CVE-2018-6037: Insufficient user gesture requirements in autofill.
Reported by Paul Stone of Context Information Security on 2017-08-09
[$1000] Medium CVE-2018-6038: Heap buffer overflow in WebGL.
Reported by cloudfuzzer on 2017-10-12
[$1000] Medium CVE-2018-6039: XSS in DevTools.
Reported by Juho Nurminen on 2017-10-17
[$1000] Medium CVE-2018-6040: Content security policy bypass.
Reported by WenXu Wu of Tencent's Xuanwu Lab on 2017-10-26
[$500] Medium CVE-2018-6041: URL spoof in Navigation.
Reported by Luan Herrera on 2017-08-29
[$500] Medium CVE-2018-6042: URL spoof in OmniBox.
Reported by Khalil Zhani on 2017-10-12
[$500] Medium CVE-2018-6043: Insufficient escaping with external URL handlers.
Reported by 0x09AL on 2017-11-16
[$TBD] Medium CVE-2018-6045: Insufficient isolation of devtools from extensions.
Reported by Rob Wu on 2017-12-23
[$TBD] Medium CVE-2018-6046: Insufficient isolation of devtools from extensions.
Reported by Rob Wu on 2017-12-31
[$TBD] Medium CVE-2018-6047: Cross origin URL leak in WebGL.
Reported by Masato Kinugawa on 2018-01-08
[$500] Low CVE-2018-6048: Referrer policy bypass in Blink.
Reported by Jun Kokatsu (@shhnjk) on 2017-09-08
[$500] Low CVE-2017-15420: URL spoofing in Omnibox.
Reported by Drew Springall (@_aaspring_) on 2017-10-05
[$500] Low CVE-2018-6049: UI spoof in Permissions.
Reported by WenXu Wu of Tencent's Xuanwu Lab on 2017-10-13
[$500] Low CVE-2018-6050: URL spoof in OmniBox.
Reported by Jonathan Kew on 2017-10-15
[$N/A] Low CVE-2018-6051: Referrer leak in XSS Auditor.
Reported by Antonio Sanso (@asanso) on 2014-12-11
[$N/A] Low CVE-2018-6052: Incomplete no-referrer policy implementation.
Reported by Tanner Emek on 2016-05-28
[$N/A] Low CVE-2018-6053: Leak of page thumbnails in New Tab Page.
Reported by Asset Kabdenov on 2017-08-23
[$N/A] Low CVE-2018-6054: Use after free in WebUI.
Reported by Rob Wu on 2017-12-24
자세한 업데이트 내역은 아래 링크의 Releases 정보를 확인하기 바랍니다.
--
[영향을 받는 크롬 및 업데이트 버전]
□ 크롬 63.0.3239.132 및 이하 버전 → 크롬 64.0.3282.119 버전으로 업데이트
※ https://chromereleases.googleblog.com/2018/01/stable-channel-update-for-desktop_24.html
--
아울러 이번 크롬 64 버전에서는 웹브라우저의 보안 측면이 강화되었습니다.
구글이 1월 초에 약속한 바와 같이, 크롬 64 버전부터는 웹 기반의 스펙터 취약점 악용 공격을 '완화/경감(MITIGATE)'하는 조치를 포함하고 있습니다.
*스펙터(Spectre) : Intel CPU의 멜트다운(Meltdown) 취약점과 함께 발견된 Intel, ARM, AMD CPU의 보안 취약점으로, 악성 스크립트가 삽입된 홈페이지에 접속하는 것만으로도 웹 기반 공격이 가능하다고 발표됨
게다가 크롬 64 버전부터 멀버타이징 리다이렉트(악성 링크로의 재연결)을 막는 것에 효과적인, Tab-Under 행위를 막는 팝업 차단기도 포함되어 있습니다.
크롬 64 버전이 악성 링크로 재연결되는 공격을 어떻게 막는 지는 다음의 링크를 참고하세요.
https://www.bleepingcomputer.com/news/security/google-chrome-will-block-tab-under-behavior/
--
그러므로 크롬 사용자는 주소창에 chrome://settings/help 라고 입력하여 최신버전으로 업데이트하기 바랍니다. (또는, 'Chrome 맞춤설정 및 제어 → 도움말(E) → Chrome 정보(G)')
64비트 리눅스에서는 패키지 업데이트를 통해 최신버전으로 업데이트하기 바랍니다.
데비안 / 우분투 기준 : $ sudo apt-get update && sudo apt-get dist-upgrade
출처: http://la-nube.tistory.com/322 [la Nube's Lab. | 라 누베 연구소]
