- Chrome के VRP बाउंटी पैनल ने हाल ही में एक सुरक्षा कमजोरी रिपोर्ट के लिए $250,000 का इनाम तय किया
- रिपोर्ट की गई कमजोरी ipcz कंपोनेंट की बग है, जिसमें रेंडरर ब्राउज़र प्रोसेस का handle क्लोन करके सैंडबॉक्स से बाहर निकलने की संभावना बनती है
- संबंधित मुद्दा Chromium के Internals>Mojo>Core क्षेत्र में उठाया गया था
- इस कमजोरी से उपयोगकर्ताओं की सुरक्षा पर खतरा बढ़ सकता है
- इस मुद्दे को कोड बदलकर पैच करने की दिशा में काम चल रहा है
मुख्य मुद्दों का संक्षिप्त अवलोकन
- हाल ही में Chromium प्रोजेक्ट में एक अत्यंत गंभीर सुरक्षा कमजोरी रिपोर्ट की गई है
- यह कमजोरी ipcz कंपोनेंट की खामी के कारण संभव हुई है, जिसमें सैंडबॉक्स में रहना चाहिए ऐसा रेंडरर ब्राउज़र प्रोसेस का handle क्लोन करके सुरक्षा अलगाव वातावरण से बाहर निकल सकता है
- ऐसा व्यवहार मूलतः ब्राउज़र सैंडबॉक्स आर्किटेक्चर के लिए एक खतरा है
Chrome VRP इनाम निर्णय और महत्व
- Chrome Vulnerability Reward Program (पुरस्कार कार्यक्रम) पैनल ने इस रिपोर्ट पर $250,000 के भुगतान का निर्णय लिया
- यह निर्णय इस कमजोरी की गंभीरता, खोजने की कठिनाई और संभावित प्रभाव को दर्शाता है
- यह प्रमुख सुरक्षा खामियों पर सक्रिय रूप से बग रिपोर्टिंग को प्रोत्साहित करने की प्रतिबद्धता का उदाहरण है
आंतरिक मुद्दा निपटान
- इस मुद्दे को Internals>Mojo>Core और Internals>Mojo श्रेणियों में संभाला जा रहा है
- कई संबंधित कोड बदलाव की आवश्यकता है, जिसमें कुछ Gerrit कोड कमिट भी शामिल हैं
- डिजाइन दस्तावेज़ की समीक्षा जैसी औपचारिक समीक्षा प्रक्रियाएँ भी चल रही हैं
पैच और प्रभाव
- संबंधित समस्या कोड संशोधन प्रक्रिया के जरिए पैच करने के लिए प्रगति पर है
- यह मुद्दा Chromium के कई रिलीज़ माइलस्टोन को प्रभावित कर रहा है, और सिक्योरिटी अपडेट की प्राथमिकता बहुत उच्च है
- यह बग उपयोगकर्ता सिस्टम की सुरक्षा परतों को कमजोर करने का जोखिम पैदा कर सकता है
संबंधित तथ्य और सिस्टम प्रतिक्रिया
- इस मुद्दे के तहत IRM (Incident Response Management) रिकॉर्ड भी तैयार किया गया है
- इस बग का विवरण ऑटो-जनरेटेड कोड बदलाव, संबंधित सुरक्षा मुद्दे, डिजाइन समीक्षा, रिलीज़ प्रबंधन जैसी विभिन्न आंतरिक प्रणालियों में ट्रैक और नियंत्रित तरीके से एक्सेस किया जा रहा है
- समुदाय और उपयोगकर्ताओं के लिए त्वरित तथा प्रभावी सिक्योरिटी पैच रिलीज़ और सूचना जारी करना आवश्यक है
अभी कोई टिप्पणी नहीं है.