A kiberbiztonsági kutató, Mohan Pedhapati elmondta, aki az Anthropic Claude Opus 4.6 mesterséges intelligencia modell segítségével teljes kihasználási láncot írt a Google Chrome 138-as böngésző JavaScript V8 motorjának feltörésére, amelyen a Discord legfrissebb kliens működik.
A kihasználási lánc megírása egy hetet vett igénybe, tájékoztatott a kutató - a folyamat során 2,3 milliárd tokent és 2283 dollárt költött az AI modell API-jához való hozzáférésre; emellett személyesen is hozzájárult, összesen 20 órát töltött el a zsákutcákra vonatkozó feladatok megoldásával. A hackelési séma létrehozásának költsége jelentősnek tűnik egy magánszemély számára, ismerte el Mohan Pedhapati; másrészről külső segítség nélkül az ember hasonló projekten több hetet dolgozott volna. A projekt gazdaságilag is jövedelmezővé vált - a Google és a Discord 15 000 dolláros jutalma egy ilyen kihasználásról szóló bejelentésért körülbelül ezt az összeget érheti. És ez csak a legális piac - egy nulladik napi sebezhetőségért a kiberbűnözők más összeget is fizethetnének.
Sokan használják az Electron keretrendszert alkalmazásaikhoz, amely viszont a Chrome-ra épít - ezt nemcsak a Discordnál, hanem például a Slacknél is így teszik. Az aktuális keretrendszer kódja egy verzióval elmarad a böngészőtől, és az alkalmazásfejlesztők nem mindig frissítik gyorsan a függőségeket, ráadásul a felhasználók sem mindig telepítik a legújabb verziót. A Discord kliensét a tapasztalt kutató választotta, mert a Chrome 138-as verzióján működik, ami kilenc főverzióval elmarad a böngésző legújabb verziójától.
Minden kezdő programozó, mondja Mohan Pedhapati, elegendő türelemmel és egy API kulccsal rendelkezve képes feltörni a frissítetlen szoftvert — "ez idő kérdése, nem pedig valószínűség". Továbbá, "minden javítás lényegében egy útmutató az exploitokhoz", mivel a nyílt forráskódú projektek átláthatóan fejlődnek, azaz a javítások gyakran nyilvánosak a kódokban, mielőtt a program frissített verziója megjelenne. Az alkalmazások védelme érdekében az szakember azt javasolja, hogy figyelmesen kövessék a függőségeket, gyorsan végezzenek változtatásokat, és automatikusan bocsássanak ki biztonsági javításokat, hogy a felhasználói szoftver ne maradjon sebezhető, ha a frissítést egyszerűen elfelejtik telepíteni. Végül a nyílt forráskódú projekteknek óvatosnak kell lenniük a sebezhetőségi adatok részletes közzétételénél.
Forrás:
Forrás: 3dnews.ru
