Вчера, 29 июня, Google закрыла семь уязвимостей в Chrome во втором по счету
обновлении за этот месяц.
Одна из уязвимостей Chrome 12.0.742.112 помечена как «очень важная», что
соответствует второй по критичности позиции в списке меток Google. Несколько
компонент получат обновления, включая «V8» JavaScript, CSS (cascade style
sheet) парсер HTML.
В предыдущем обновлении, вышедшем 8 июня, закрывалось 15 уязвимостей.
Три из семи ошибок отнесены к типу «use-after-free». Это проблемы с
управлением памятью, следствием которых может быть внесен вредоносный
код.
Как обычно, Google закрыл базу Chrome для отслеживания ошибок, чтобы
перекрыть доступ аутсайдерам к обсуждению инженеров по поводу закрытия
уязвимостей. Компания закрывает публичный доступ к базе, чтобы дать время
пользователям обновиться. Иногда это длятся месяцами.
Например, описание только двух багов из 15, исправленных Google ранее,
только сейчас могут быть доступны.
Google заплатил $6,000 бонусов дрем исследователям за сообщение о семи
уязвимостях. Причем $4,500 из этой суммы получил исследователь под ником
«miaubiz,» который открыл пять из семи уязвимостей.
Постоянный участник программы поиска уязвимостей, Сергей Глазунов, который
получает бонусы за большинство обновлений в безопасности Chrome, не попал в
список в последний список. Глазунов является единственным исследователем,
который получил дважды бонус от Google в размере $3,133.
Только Google и Mozilla платят бонусы независимым исследователям за
найденные ошибки. Обе компании спорят с противниками такой системы
поощрения.
«Если вы запускаете программу вознаграждения за выявленные уязвимости, вы
получите больше отчетов от большего числа независимых исследователей», сказал
Крис Эванс (Chris Evans), инженер Google по безопасности в своем персональном
блоге в прошлом месяце. «Сила доверия и престижа часто является аргументом не
запускать подобные программы, но факт остается фактом и вы получите больше
отчетов в результате работы программы поощрения. И если у вас есть культура
быстрого устранения дыр в безопасности, ваши пользователи будут более защищены
благодаря такой программе».
В этом году Google заплатила более $94,000 бонусов.
Согласно замерам компании Net Applications, Chrome занимал около 12.5% рынка
браузеров в предыдущем месяце.
Установленные копии Chrome обновятся автоматически в фоновом режиме.
Источник: www.computerworld.com