Chrome 154 łata 108 dziur i żadna z nich nie była wykorzystywana

Sto osiem dziur w zabezpieczeniach, jedenaście z nich krytycznych, i żadnego śladu, by którąkolwiek wykorzystano przeciw komukolwiek. Oto Chrome 154, czyli dokładnie taka wersja, jaką wszyscy pomijają.

Google wypuściło ją na kanał stabilny 22 września. Wydania to 154.0.8037.57 i .58 dla Windows i Mac oraz .57 dla Linuksa. Pełny bilans to 11 błędów krytycznych, 25 wysokich, 47 średnich i 25 niskich. Większość tych krytycznych siedzi w częściach przeglądarki odpowiedzialnych za rysowanie strony: trzy przepełnienia bufora w warstwie graficznej ANGLE, kolejne w WebGL, dwa zapisy poza zakresem w kodzie GPU. Reszta to błędy use-after-free w ServiceWorker, Fullscreen, WindowDialog i AdFilter. Zewnętrzni badacze zgłosili 32 ze 108 dziur i dostali dotąd 18 000 dolarów. Resztę znaleźli ludzie samego Google.

"Jeszcze niewykorzystana" opisuje chwilę, a nie stan rzeczy. Gdy poprawka trafia do ludzi, zmiana w kodzie jest jawna, a ustalenie, co naprawia, to praca, którą ktoś wykona. Odstęp między wydaniem Chrome a pierwszymi atakami zbudowanymi na jego podstawie kurczy się od lat.

Jest jeszcze praktyczny haczyk. Chrome 154 rozchodzi się falami przez kilka dni, czasem tygodni, więc wasza kopia może nadal być na 153, a przeglądarka otwarta od zeszłego tygodnia wykonuje to, co wczytała wtedy, niezależnie od tego, jaką wersję pobrała. Otwórzcie menu, wybierzcie Pomoc, potem Google Chrome - informacje. Sprawdzi, pobierze i pokaże przycisk ponownego uruchomienia. To właśnie ten restart ma znaczenie. Ocena kondycji w Tendvane bierze pod uwagę programy pozostawione na starych wersjach, bo tak właśnie przeglądarka po cichu zostaje trzy wydania w tyle.