Cyberthreat.id – Google, perusahaan internet terkemuka juga pengembang peramban Chrome, pekan lalu merilis pembaruan untuk Chrome 85.

Pembaruan tersebut menambal beberapa kerentanan kategori tinggi, termasuk dapat dimanfaatkan peretas untuk memasang ekstensi berbahaya.

Kerentanan pada ekstensi tersebut ditemukan oleh peneliti keamanan siber, David Erceg pada Agustus lalu.

Seperti dikutip dari SecurityWeek, Sabtu (26 September 2020), David menemukan tiga kerentanan. Kerentanan pertama (CVE-2020-15961) berkategori parah dan David menerima hadiah sebesar US$ 15.000.

Selanjutnya, ia menerima hadiah sebesar US$ 5.000 untuk kerentanan sangat parah (CVE-2020-15963) dan kerentanan ketiga (CVE-2020-159660 tergolong sedang, tapi hadiahnya belum ditentukan oleh Google. Total hadiah yang didapat David dari Google sebesar US$ 20.000 (atau sekitar Rp 297 juta).

Menurut David, tiga kerentanan tersebut menargetkan antarmuka pemrograman aplikasi (API) tertentu pada ekstensi Chrome. Ia belum menamai API yang terkena dampak.

Jika ada peretas yang mengeksploitasi ketiga masalah itu, mereka bisa memasang ekstensi jahat dengan beberapa hak khusus.

“Dua masalah (masalah dengan tingkat keparahan tinggi) memungkinkan ekstensi mengunduh dan menjalankan executable file (file untuk menjalankan program dan biasa berbentuk .exe). Dalam kedua kasus tersebut, tidak ada interaksi pengguna yang diperlukan setelah pemasangan ekstensi, ”jelas David.

“Dalam serangan dunia nyata, masalah tersebut akan memungkinkan ekstensi untuk menjalankan eksekusi di luar ‘kotak pasir’ (sandbox) peramban segera setelah pemasangan (dapat dilakukan dalam beberapa detik).”

Dalam dunia keamanan komputer, istilah sandbox mengacu pada mekanisme mengeksekusi kode yang belum teruji atau program yang tidak tepercaya dari pihak ketiga.

David mengatakan, kerentanan CVE-2020-15963 hanya dapat dieksploitasi untuk menjalankan eksekusi di luar kotak pasir jika kondisi tertentu terpenuhi. Jika kondisi ini tidak terpenuhi, penyerang masih dapat melakukan tindakan tertentu, seperti mengakses halaman istimewa atau membaca file lokal.

Alternatifnya, penyerang dapat menghubungkan kelemahan ini dengan kelemahan lain untuk mengeksekusi kode di luar kotak pasir.

Masalah tingkat keparahan sedang, kata peneliti, dapat dimanfaatkan oleh ekstensi jahat untuk membaca konten file lokal. Padahal normalnya, ekstensi tidak diizinkan untuk melakukannya tanpa izin pengguna.

Pembaruan Chrome 85 juga menambal beberapa kerentanan. Awal September, peneliti keamanan siber dari 360 Alpha Lab China, Leecraso dan Guang Gong, memperoleh US$ 20.000 dari Google karena melaporkan kerentanan dengan tingkat keparahan tinggi karena dapat dieksploitasi untuk keluar dari kotak pasir Chrome.[]

Redaktur: Andi Nugroho