The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Обновление Chrome 23.0.1271.97 с устранением критической уязвимости

12.12.2012 11:59

Компания Google представила корректирующий выпуск web-браузера Chrome 23.0.1271.97, в котором устранено 6 уязвимостей и представлена порция исправлений ошибок. Одной из уязвимостей присвоен статус критической проблемы, позволяющей обойти все уровни защиты браузера. Критическая проблема (CVE-2012-5142) выявлена сотрудниками Google и проявляется в выходе за границы буфера при выполнении операций по работе с историей посещений.

Три уязвимости отнесены к категории опасных проблем: две уязвимости вызваны обращением к области памяти после её освобождения и одна проблема связана с повреждением стека при декодировании специально оформленного контента в формате AAC. В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила исследователям безопасности 4500 долларов (по одной премии, размером 2000$, 1500$ и 1000$).

Из не связанных с безопасностью проблем отмечается устранение ошибки с обрезанием краёв текста во всплывающем диалоге с настройками сайта. На платформе Linux устранены проблемы отображения текста в секциях input для некоторых web-приложений, что приводило к показу выделенного контента белым цветом на белом фоне. Решены проблемы с нарушением работоспособности некоторых плагинов. Устранены проблемы, специфичные для платформы Windows 8. В новой версии Chrome также произведелно обновление версии поставляемого в составе браузера плагина Adobe Flash, в котором проведена работа над ошибками.

Кроме того, можно отметить возникновение в понедельник интересного эффекта, который привёл к массовым крахам браузера Chrome при выполнении попытки синхронизации данных. Причиной проблемы стало изменение конфигурации балансировщика нагрузки, что привело к выходу из строя ряда компонентов инфраструктуры Google (например, наблюдалась неработоспособность Gmail). В качестве реакции система защиты от сбоев в процессе сеанса синхронизации задала в том числе и новые параметры квот для использования на стороне клиента. Подобные квоты выставляются в привязке к типу синхронизируемых данных, но в данном случае была выбрана опция использования квоты для всех типов сразу, что было некорректно разобрано браузером и привело к его краху.

  1. Главная ссылка к новости (http://googlechromereleases.bl...)
  2. OpenNews: Релиз Chrome OS 23 и обновление браузера Chrome для настольных и мобильных систем
  3. OpenNews: Обновление браузера Chrome 23.0.1271.91 с устранением уязвимостей
  4. OpenNews: Увидел свет web-браузер Chrome 23
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/35575-chrome
Ключевые слова: chrome
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (17) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, pavlinux (ok), 12:54, 12/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > задала в том числе и новые параметры квот для использования на стороне клиента.

    А им кто-то разрешал, рулить параметрами на моём компе?

     
     
  • 2.14, Аноним (-), 18:54, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > А им кто-то разрешал, рулить параметрами на моём компе?

    Корпорация добра лучше знает что тебе нужно. А кто не согласен - ну ты в курсе, да?

     
  • 2.25, followme (ok), 16:20, 16/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Вы разрешали. Или вы пользовательское соглашение приняли не читая ?
     

  • 1.3, flvby1 (?), 13:52, 12/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    кто-нибудь в курсе, попадают ли такие исправления в chromium?
     
     
  • 2.4, demimurych (ok), 14:01, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Все что касается web kit в обязательно порядке.
     

  • 1.6, Аноним (-), 14:35, 12/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    что-то не слышно про тюменца - "спеца" по уязвимостям хрома
     
  • 1.12, Deluxe (??), 17:48, 12/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > В новой версии Chrome также произведелно обновление версии поставляемого в составе браузера плагина Adobe Flash, в котором проведена работа над ошибками.

    Это сизифов труд, потому что ошибки в Adobe Flash не закончатся никогда. Когда одна исправляется, на её месте появляются три новые, подобно тому как у гидры вместо отрубленной головы вырастают три.

    Почему так? Предположим, разработчики сделали допиленный продукт. Отшлифовали, отполировали. Что дальше? Разрабочики больше не нужны.

    А вот если продукт сырой, глючный, состоящий из ошибок, то разработчики продолжают получать зарплату, исправляют ошибки и уязвимости. Но не все сразу, а порциями, чтобы продержаться на плаву подольше.

    Лечится очень просто: YouTube всем поголовно принудительно включает HTML5/webm и посылает Flash лесом. Хомячки, может, неделю попищат недовольно, но всё равно как миленькие скачают браузер с поддержкой HTML5.

    Ну а всякие онлайн-игры на флэше и так многими здравомыслящими людьми бойкотируются.

     
     
  • 2.13, Аноним (13), 18:46, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Поддерживаю! Единственное что заставляет держать на компе флеш, так это вконтакте, где без флеша видео не посмотреть.
     
     
  • 3.15, Аноним (-), 18:55, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Поддерживаю! Единственное что заставляет держать на компе флеш, так это вконтакте

    Как по мне так лучше всего избавиться от обоих. Меньше проблем. Да и вообще, неприятно когда тобой торгуют как стеклотарой.

     
  • 3.24, freehck (ok), 13:33, 13/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Это еще что - там без флеша не то, что видео не посмотреть, а даже файлик другу не выслать. Я уже не говорю о загрузке фотографий.
     
  • 2.16, ghcgjhcg (?), 19:07, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >Компания Google представила корректирующий выпуск web-браузера Chrome 23.0.1271.97, в котором устранено 6 уязвимостей и представлена порция исправлений ошибок

    Это сизифов труд, потому что ошибки в Chrome не закончатся никогда. Когда одна исправляется, на её месте появляются три новые, подобно тому как у гидры вместо отрубленной головы вырастают три.

    Почему так? Предположим, разработчики сделали допиленный продукт. Отшлифовали, отполировали. Что дальше? Разрабочики больше не нужны.

    А вот если продукт сырой, глючный, состоящий из ошибок, то разработчики продолжают получать зарплату, исправляют ошибки и уязвимости. Но не все сразу, а порциями, чтобы продержаться на плаву подольше.

     
     
  • 3.17, Michael (??), 19:35, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ОМФГ, я как понимаю вы никогда не работали в софтверной компании и вообще даже близко не стояли рядом с разработчиками софта?
     
  • 3.18, Framework (ok), 19:43, 12/12/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вы забываете объёмы кода этого браузера и кол-во разработчиков. Плюс сторонние компоненты, на работу которых влиять ещё сложнее.
     

  • 1.20, анон (?), 07:05, 13/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    родовые проблемы с C/C++ дают себя знать с переполнением буфера. работой с кучен. у них же Go есть. возможно пока медленней. может D. или просто GC
     
  • 1.21, медведко (ok), 07:21, 13/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не хочу показаться троллем, но я шоке с Убунты. Она уже превратилась в винду с обновлениями через полгода после обнаружения дырок. До сих пор 22-я версия хромиума и никаких телодвижений. Хотя, дже репка proposed стоит (и security, разумеется).

    Домашний комп перетащил на Арч, там Хромиум обновился в тот же день. Но rolling release для рабочих компов - не торт :(

     
     
  • 2.22, taaroa (ok), 07:43, 13/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Не хочу показаться троллем, но я шоке с Убунты. Она уже превратилась в винду с обновлениями через полгода после обнаружения дырок. До сих пор 22-я версия хромиума и никаких телодвижений

    Thanks for taking the time to report this bug and helping to make Ubuntu better. Since the package referred to in this bug is in universe or multiverse, it is community maintained. If you are able, I suggest coordinating with upstream and posting a debdiff for this issue. When a debdiff is available, members of the security team will review it and publish the package. See the following link for more information: https://wiki.ubuntu.com/SecurityTeam/UpdateProcedures

    © Ubuntu Security Team

     
     
  • 3.23, медведко (ok), 08:48, 13/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Это геморный и долгий процесс, который нельзя автоматизировать. Т.е. постоянно что-то надо ручками делать не только maintainer-ам, но и добровольцам. Вывод: в консерватории не всё в
    порядке.

    Тот же Alex Shkop зачем-то придумал свою репку (ppa:a-v-shkop/chromium), а не коммитить debdiff-ы. О чём-то говорит.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру