کمیته رکن چهارم – موزیلا و گوگل مرورگرهای خود را در هفته‌ی جاری به‌روزرسانی کرده‌اند و وصله‌های امنیتی مهمی را همراه با تقویت حریم خصوصی و ایمنی کاربر اضافه کرده‌اند.
گوگل در هفته‌ی گذشته، ۵۳ وصله‌ی امنیتی را با انتشار کروم نسخه‌ی ۶۴ برای ویندوز، مک و لینوکس ارائه داد. تنها ۳ مورد از این آسیب‌پذیری‌های وصله‌شده با شدت بالا و ۱۳ مورد با شدت متوسط ارزیابی شده‌اند. مسأله‌ی قابل توجه، ارائه‌ی یک وصله برای محافظت در برابر آسیب‌پذیری قابل بهره‌برداری در وب Spectre است. گوگل تجزیه و تحلیل‌های دقیقی در مورد این وصله ارائه نداد و فقط اعلام کرد که این نسخه حاوی راه‌کارهای بیشتری برای مقابله با روش‌های حمله‌ی کانال جانبی است.
یکی از آسیب‌پذیری‌های با شدت بالا (CVE-۲۰۱۸-۶۰۳۱) به مشکل نمایش‌گر پی‌دی‌اف پیش‌فرض کروم به نام PDFium مربوط است. ۲ آسیب‌پذیری دیگری که با شدت بالا ارزیابی شده‌اند نیز وصله شدند. یکی (CVE-۲۰۱۸-۶۰۳۲) که به عنوان آسیب‌پذیری «دور زدن منبع مشابه در کارکنان اشتراکی» است. و دیگری (CVE-۲۰۱۸-۶۰۳۳) یک اشکال «مسابقه هنگام باز کردن پرونده‌های بارگذاری‌شده» است.
گوگل، علاوه بر این وصله‌ها، با کروم نسخه‌ی ۶۴ به خصوص بخشی از نسخه‌ی بتای این مرورگر که در ماه گذشته معرفی شد، ویژگی‌های امنیتی جدیدی ارائه کرد. گوگل گفت: «این ویژگی‌ها شامل یک مسدودساز پاپ‌آپ قوی‌تری هستند که پیوندهای مربوط به وب‌گاه‌های شخص ثالث را که به عنوان دکمه‌های بازی یا سایر کنترل‌ها، یا لایه‌های شفاف روی وب‌گاه‌ها تغییر شکل داده‌اند و همه‌ی کلیک‌ها را دریافت می‌کنند و زبانه‌ها یا پنجره‌های جدید باز می‌کنند، هدف قرار می‌دهد و آن‌ها را مسدود می‌کند.»
گوگل همچنین یک ابزار گزارش سوء‌استفاده را در کنسول جستجوی گوگل معرفی کرد که به صاحبان وب‌گاه اجازه می‌دهد تا بررسی کنند که آیا سوء‌استفاده‌ای در وب‌گاه‌های آن‌ها یافت شده است یا خیر.
روز پنج‌شنبه، گوگل یک ویژگی جدید مسدودسازی تبلیغات را که به امنیت مربوط نیست معرفی کرد که انتظار می‌رود بین کاربران محبوب باشد. این ویژگی‌ها امکان مسدود کردن تبلیغاتی را که کاربران را در سراسر وب ردیابی می‌کند، به کاربران می‌دهد.
گوگل به کاربران اجازه می‌داد که تبلیغات ردیابی را در مرورگر مسدود کنند. اما، ویژگی جدید «مسدودسازی تبلیغ»، ویژگی‌های مسدودسازی را در گوگل، وب‌گاه‌ها، و برنامه‌ها گسترش می‌دهد. گوگل اعلام کرد که قصد دارد در ماه‌های آینده، این ویژگی را در یوتیوب و جی‌میل نیز گسترش دهد.
موزیلا ویژگی «همیشه در ممنوعیت ردیابی وب» را اضافه کرد
موزیلا ۲ اشکال بحرانی فایرفاکس را با انتشار فایرفاکس ۵۸ کوانتوم که روز سه‌شنبه معرفی شد، وصله کرد. همچنین ۸ آسیب‌پذیری با شدت بالا را نیز وصله کرد. یکی از اشکال‌های بسیار جدی، آسیب‌پذیری بحرانی «ایمنی حافظه» (CVE-۲۰۱۸-۵۰۸۹) است که با تلاش‌های بسیار به مهاجم اجازه می‌داد تا از این آسیب‌پذیری بهره‌برداری کند و کد دلخواه خود را در دستگاه‌های هدف اجرا کند.
اشکال حیاتی دوم که اشکال استفاده پس از آزادسازی فایرفاکس بود نیز توسط موزیلا فایرفاکس وصله شد. طبق توصیه‌نامه‌ی امنیتی موزیلا، این اشکال (CVE-۲۰۱۸-۵۰۹۱) به ویژگی DTMF مرورگر مربوط است. DTMF یا ارسال سیگنال چند فرکانسی دو بوقی، یک مؤلفه‌ی فایرفاکس است که از «touch tones» در چارچوب WebRTC مرورگر استفاده می‌کند که می‌تواند برای برقراری تماس با یک شبکه‌ی تلفن قدیمی مبتنی بر DTMF مورد استفاده قرار گیرد.
طبق این توصیه‌نامه‌ی امنیتی، آسیب‌پذیری استفاده پس از آزادسازی می‌تواند در زمان اتصال که با زمان‌سنج‌های DTMF ارتباط برقرار می‌کند، رخ دهد و منجر به یک خرابی قابل‌بهره‌برداری شود.
این وصله‌ها در نسخه‌ی پشتیبانی گسترده‌ی (ESR) ۵۲٫۶ مرورگر فایرفاکس که روز سه‌شنبه به‌روزرسانی شده بود، نیز اعمال شد.
آخرین نسخه‌ی فایرفاکس ۵۸ کوانتوم (برای ویندوز، لینوکس و سامانه‌عامل مک) افزایش‌های عملکردی را معرفی می‌کند. بخشی از این افزایش سرعت‌ها به ممنوعیت تبلیغ‌کنندگان در جمع‌آوری اطلاعات در مورد کاربران موقع مرور در اینترنت، مربوط است. موزیلا می‌گوید که ردیابی تبلیغات، سرعت مرورگر را به نصف کاهش می‌دهد.
موزیلا می‌گوید: «هنگامی که شما از وب‌گاهی به وب‌گاه دیگر مرور می‌کنید، اغلب توسط اسکریپت‌هایی که در مورد مکان و کار شما اطلاعات جمع‌آوری می‌کنند، ردیابی می‌شوید. این اسکریپت‌ها می‌توانند اطلاعات شما را از بین ببرند، سرعت اینترنت را کاهش دهند و شما را مجبور کند که تبلیغاتی را مشاهده کنید که مایل به دیدن آن‌ها نیستند. ما متوجه شدیم که وقتی مرور خصوصی با محافظت از ردیابی فعال است، فایرفاکس به طور قابل توجهی سریع‌تر از کروم است.»
برای افزایش سرعت فایرفاکس ۵۸، شما می‌توانید ردیابی تبلیغات فایرفاکس را نه تنها در حالت مرور خصوصی بلکه برای همیشه مسدود کنید.
منبع : news.asis.io
