{"id":445014,"date":"2026-05-22T03:33:11","date_gmt":"2026-05-22T03:33:11","guid":{"rendered":"https:\/\/www.europesays.com\/pl\/445014\/"},"modified":"2026-05-22T03:33:11","modified_gmt":"2026-05-22T03:33:11","slug":"mialo-byc-zamkniecie-zgloszenia-wyszedl-poradnik-ataku-miliony-uzytkownikow-chromium-zostaly-z-otwarta-furtka","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/pl\/445014\/","title":{"rendered":"Mia\u0142o by\u0107 zamkni\u0119cie zg\u0142oszenia, wyszed\u0142 poradnik ataku. Miliony u\u017cytkownik\u00f3w Chromium zosta\u0142y z otwart\u0105 furtk\u0105"},"content":{"rendered":"

\"Mia\u0142oPrzegl\u0105darki bazuj\u0105ce na Chromium od lat wygrywaj\u0105 wygod\u0105 i zgodno\u015bci\u0105 ze wsp\u00f3\u0142czesnym webem. Tym razem w\u0142a\u015bnie ten ekosystem sta\u0142 si\u0119 problemem. Google przypadkowo opublikowa\u0142o kod exploita dla luki zg\u0142oszonej jeszcze pod koniec 2022 roku, cho\u0107 poprawki nadal brak. Nie chodzi przy tym o egzotyczny modu\u0142 dla deweloper\u00f3w, ale o mechanizm zdolny utrzymywa\u0107 transfer danych nawet po zamkni\u0119ciu karty przegl\u0105darki.<\/p>\n

Google wypu\u015bci\u0142o do sieci kod ataku na w\u0142asn\u0105, wci\u0105\u017c nieza\u0142atan\u0105 od miesi\u0119cy luk\u0119 w Chromium. To kompromituj\u0105ca wpadka i kolejny dow\u00f3d, \u017ce monokultura przegl\u0105darek ma bardzo realn\u0105 cen\u0119.<\/p>\n

\"Mia\u0142o<\/a><\/p>\n

Nowe obej\u015bcie BitLockera w Windows 11 i Windows Server 2022\/2025. Wystarczy fizyczny dost\u0119p oraz no\u015bnik USB<\/a><\/p>\n

Sedno problemu zwi\u0105zanego z tym exploitem tkwi w mechanizmie Background Fetch API<\/a>. Rozwi\u0105zanie to pozwala przegl\u0105darce<\/a> doka\u0144cza\u0107 pobieranie du\u017cych plik\u00f3w niezale\u017cnie od \u017cycia pojedynczej karty, dlatego dokumentacja MDN Web Docs<\/a> i materia\u0142y Google<\/a> opisuj\u0105 scenariusze, w kt\u00f3rych transfer trwa po opuszczeniu strony, a na cz\u0119\u015bci platform nawet po zamkni\u0119ciu przegl\u0105darki. Badaczka Lyra Rebane<\/a> wykaza\u0142a jednak, \u017ce ten sam mechanizm mo\u017ce zosta\u0107 wykorzystany do utrzymywania d\u0142ugiego po\u0142\u0105czenia z serwerem kontrolowanym przez atakuj\u0105cego. Z perspektywy u\u017cytkownika problem wygl\u0105da niepokoj\u0105co \u0142atwo. Nie trzeba instalowa\u0107 rozszerzenia ani pobiera\u0107 podejrzanego pliku, bo w niekt\u00f3rych scenariuszach wystarczy samo wej\u015bcie na odpowiednio przygotowan\u0105 stron\u0119.<\/p>\n

\"Mia\u0142o<\/a><\/p>\n

Druga powa\u017cna luka w j\u0105drze Linux w dwa tygodnie. Dirty Frag rozszerza klas\u0119 b\u0142\u0119d\u00f3w znan\u0105 z Dirty Pipe i Copy Fail <\/a><\/p>\n

Skutek nie wygl\u0105da widowiskowo, ale w\u0142a\u015bnie to czyni go potencjalnie gro\u017anym. Przegl\u0105darka mo\u017ce zosta\u0107 wykorzystana jako anonimowe proxy<\/a>, pomaga\u0107 w atakach DDoS<\/a> albo ujawnia\u0107 cz\u0119\u015b\u0107 aktywno\u015bci u\u017cytkownika bez jego wiedzy. To nadal nie jest scenariusz pe\u0142nego przej\u0119cia systemu, jednak przy skali przegl\u0105darek takich jak Google Chrome<\/a>, Microsoft Edge<\/a>, Brave<\/a>, Opera<\/a> czy Vivaldi<\/a> problem przestaje wygl\u0105da\u0107 jak techniczna ciekawostka. Serwis Ars Technica podaje, \u017ce luka pozostawa\u0142a nierozwi\u0105zana przez 29 miesi\u0119cy mimo wewn\u0119trznej klasyfikacji S1, czyli jednej z najwy\u017cszych. I w\u0142a\u015bnie tutaj wraca motyw dobrze znany po historii z 0.0.0.0 Day<\/a>. B\u0142\u0119dy w przegl\u0105darkach mog\u0105 latami pozostawa\u0107 na drugim planie, je\u015bli nie prowadz\u0105 od razu do spektakularnego zdalnego wykonania kodu.<\/p>\n

\n

Z\u0142o\u015bliwe wydanie elementary-data trafi\u0142o do PyPI. B\u0142\u0105d w GitHub Actions otworzy\u0142 drog\u0119 do kradzie\u017cy token\u00f3w i kluczy<\/a><\/p>\n

Na tle konkurencji najgorzej wypada rodzina Chromium<\/a>, bo wsp\u00f3lny silnik po raz kolejny rozlewa jeden problem na ogromn\u0105 cz\u0119\u015b\u0107 rynku przegl\u0105darek. Kr\u00f3tkoterminowo u\u017cytkownik ma niewielkie pole manewru, czyli mo\u017ce zachowa\u0107 ostro\u017cno\u015b\u0107 wobec podejrzanych stron i czeka\u0107 na poprawk\u0119. D\u0142ugofalowo problem wygl\u0105da jednak powa\u017cniej, bo Google nie tylko nie dostarczy\u0142o \u0142atki przez ponad dwa lata, ale dodatkowo omy\u0142kowo opublikowa\u0142o publiczny kod PoC dla exploita<\/a>. Tego typu sytuacje potrafi\u0105 podkopa\u0107 zaufanie do ca\u0142ego procesu bezpiecze\u0144stwa znacznie mocniej ni\u017c kolejny komunikat o pilnej aktualizacji.<\/p>\n

\u0179r\u00f3d\u0142o: Chrome for Developers, Android Authority, Ars Technica, MDN Web Docs<\/p>\n","protected":false},"excerpt":{"rendered":"Przegl\u0105darki bazuj\u0105ce na Chromium od lat wygrywaj\u0105 wygod\u0105 i zgodno\u015bci\u0105 ze wsp\u00f3\u0142czesnym webem. Tym razem w\u0142a\u015bnie ten ekosystem…\n","protected":false},"author":2,"featured_media":445015,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[20],"tags":[84207,425,18992,2363,36872,490,2172,13509,84208,59598,120,118,119,42,38,40,39,41,116,114,115,121,117],"class_list":["post-445014","post","type-post","status-publish","format-standard","has-post-thumbnail","category-nauka-i-technika","tag-background-fetch-api","tag-bezpieczenstwo","tag-chromium","tag-cyberbezpieczenstwo","tag-exploit","tag-google","tag-google-chrome","tag-luka","tag-lyra-rebane","tag-microsoft-edge","tag-nauka","tag-nauka-i-technika","tag-naukatechnika","tag-pl","tag-poland","tag-polish","tag-polska","tag-polski","tag-science","tag-science-and-technology","tag-sciencetechnology","tag-technika","tag-technology"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@pl\/116616128690031676","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts\/445014","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/comments?post=445014"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts\/445014\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/media\/445015"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/media?parent=445014"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/categories?post=445014"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/tags?post=445014"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}