Google закрывает 7 уязвимостей в браузере Chrome

Вчера, 29 июня, Google закрыла семь уязвимостей в Chrome во втором по счету
обновлении за этот месяц.

Одна из уязвимостей Chrome 12.0.742.112 помечена как «очень важная», что
соответствует второй по критичности позиции в списке меток Google. Несколько
компонент получат обновления, включая  «V8» JavaScript, CSS (cascade style
sheet) парсер HTML.

В предыдущем обновлении, вышедшем 8 июня, закрывалось 15 уязвимостей.

Три из семи ошибок отнесены к типу «use-after-free». Это проблемы с
 управлением памятью, следствием которых может быть внесен вредоносный
код.

Как обычно, Google закрыл базу Chrome для отслеживания ошибок, чтобы
перекрыть доступ аутсайдерам к обсуждению инженеров по поводу закрытия
уязвимостей. Компания закрывает публичный доступ к базе, чтобы дать время
пользователям обновиться. Иногда это длятся месяцами.

Например, описание только двух багов из 15, исправленных Google ранее,
только сейчас могут быть доступны.

Google заплатил $6,000 бонусов дрем исследователям за сообщение о семи
уязвимостях. Причем $4,500 из этой суммы получил исследователь под ником
«miaubiz,» который открыл пять из семи уязвимостей.

Постоянный участник программы поиска уязвимостей, Сергей Глазунов, который
получает бонусы за большинство обновлений в безопасности Chrome, не попал в
список в последний список. Глазунов является единственным исследователем,
который получил дважды бонус от Google в размере $3,133.

Только Google и Mozilla платят бонусы независимым исследователям за
найденные ошибки. Обе компании спорят с противниками такой системы
поощрения.

«Если вы запускаете программу вознаграждения за выявленные уязвимости, вы
получите больше отчетов от большего числа независимых исследователей», сказал
Крис Эванс (Chris Evans), инженер Google по безопасности в своем персональном
блоге в прошлом месяце. «Сила доверия и престижа часто является аргументом не
запускать подобные программы, но факт остается фактом и вы получите больше
отчетов в результате работы программы поощрения. И если у вас есть культура
быстрого устранения дыр в безопасности, ваши пользователи будут более защищены
благодаря такой программе».

В этом году Google заплатила более $94,000 бонусов.

Согласно замерам компании Net Applications, Chrome занимал около 12.5% рынка
браузеров в предыдущем месяце.

Установленные копии Chrome обновятся автоматически в фоновом режиме.

Источник: www.computerworld.com