This post is also available in: Português Español
O Google Project Zero observou um total de 18 vulnerabilidades de dia zero exploradas no primeiro semestre de 2022, das quais, pelo menos, metade existe porque os bugs anteriores não foram resolvidos adequadamente.
Segundo Maddie Stone, pesquisadora do Google Project Zero, 9 dos dias zero vistos até esse momento (deste ano), poderiam ter sido evitados se as organizações tivessem aplicado patches mais abrangentes.
O mais recente desses problemas é a vulnerabilidade Follina na plataforma Windows. Rastreada como CVE-2022-30190, é uma variante de uma vulnerabilidade de dia zero MSHTML, rastreada como CVE-2021-40444.
A CVE-2022-21882 é outra vulnerabilidade do Windows, rastreada como CVE-2021-1732, que é uma variante de dia zero explorada na natureza, que foi resolvida incorretamente no ano passado.
Um bug IOMobileFrameBuffer do iOS, rastreada como CVE-2022-22587, e uma falha no mecanismos v8 do Chrome, rastreada como CVE-2022-1096, são outros dois dias zero variantes de falhas de segurança exploradas que foram encontradas em 2021. Respectivamente: CVE-2021-30983 e CVE-2021-30551.
Outros dias zero de 2022 que são variantes de defeitos de segurança tratados incorretamente, são CVE-2022-1364 (Chrome), CVE-2022-22620 (WebKit), CVE-2021-39793 (Google Pixel), CVE-2022-26134 (Atlassian Confluence) e CVE-2022-26925 (falha do Windows chamada PetitPotam).
Segundo Stone:
“No caso dos bugs do Windows win32 (CVE-2022-21882) e do interceptor de acesso à propriedade Chromium (CVE-2022-1096), o fluxo de execução que as explorações de prova de conceito levaram foram corrigidos, mas a causa raiz do problema não foi resolvida: os invasores conseguiram voltar e acionar a vulnerabilidade original por um caminho diferente.”
Os problemas do WebKit e do PetitPotam surgiram porque, embora as vulnerabilidades originais tenham sido corrigidas, elas foram regredidas em algum momento, o que permitiu que os invasores explorassem os mesmos bugs novamente.
As recomendações para garantir que as vulnerabilidades sejam corrigidas de maneira correta e abrangente incluem a análise de sua causa raiz e como foram introduzidas, análise de vulnerabilidades semelhantes ao problema de segurança em questão e a análise das técnicas de exploração empregadas e do patch.
O compartilhamento transparente dessas análises também ajuda o setor como um todo. Isso permite que desenvolvedores e profissionais de segurança entendam melhor o que os invasores já sabem sobre esses bugs. O que se espera é levar soluções e segurança ainda melhores em geral.
This post is also available in: Português Español
