Chromium mengungkap eksploit yang diklaim sudah diperbaiki setelah 4 tahun, tetapi ternyata masih belum ditambal

• Kerentanan browser berbasis Chromium yang ditemukan pada 2022 dapat menjadikan browser sebagai anggota botnet JavaScript permanen tanpa interaksi pengguna
• Di Microsoft Edge, koneksi C2 dan eksekusi JavaScript dapat tetap berlangsung bahkan setelah browser ditutup, tanpa gejala yang terlihat
• Isu Chromium tersebut baru dipublikasikan hampir 4 tahun kemudian, tetapi segera setelah dipublikasikan terkonfirmasi masih berfungsi sehingga kembali diubah menjadi nonpublik
• Saat ini di Edge bahkan menu unduhan tidak lagi muncul, sehingga hanya dengan mengunjungi satu situs web dimungkinkan JavaScript RCE senyap
• Mitigasi tidak dimungkinkan dengan filter uBlock, sedangkan NoScript dapat mencegahnya dengan menonaktifkan JavaScript atau Service Worker pada halaman tersebut

---

Publikasi dan penarikan kembali kerentanan browser berbasis Chromium

• Bug yang ditemukan Rebane pada 2022 dapat menjadikan browser berbasis Chromium apa pun sebagai anggota botnet JavaScript permanen tanpa interaksi pengguna
• Di Microsoft Edge, koneksi C2 dan eksekusi JavaScript dapat tetap berlangsung bahkan setelah browser ditutup, tanpa pengguna melihat tanda-tanda aneh
• Isu Chromium terkait dipublikasikan hampir 4 tahun kemudian di issues.chromium.org/issues/40062121
• Segera setelah dipublikasikan, terkonfirmasi bahwa masalah tersebut belum benar-benar diperbaiki dan masih berfungsi
• Setelah itu, isu tersebut kembali diubah menjadi nonpublik

Dampak yang saat ini terkonfirmasi

• Di Edge, menu unduhan pun tidak lagi muncul, sehingga terkonfirmasi bahwa hanya dengan mengunjungi satu situs web dimungkinkan JavaScript RCE yang sepenuhnya senyap
• JavaScript yang dijalankan dapat terus berjalan bahkan setelah browser ditutup
• Artikel asli menyertakan video demonstrasi, tetapi prosedur reproduksi yang rinci tidak dipublikasikan dalam teks
• Dalam kutipan artikel Ars Technica, Brave, Opera, Vivaldi, Arc juga disebut sebagai browser yang rentan

Kemungkinan mitigasi

• Kerentanan ini tidak dapat dimitigasi dengan filter uBlock
• NoScript dapat memitigasinya dengan menonaktifkan JavaScript atau Service Worker pada halaman tersebut
• Seorang pengguna mengusulkan metode pada uBlock Origin berbasis Manifest v2 untuk menyuntikkan kebijakan CSP dan menetapkan worker-src 'none'
  • uBlock Origin Static filter syntax: CSP
  • Sebagai contoh, ia mengajukan bentuk ||$csp=worker-src 'none' sebagai pendekatan untuk menonaktifkan Service Worker secara global
• Belum jelas apakah cara ini dapat merusak ekstensi yang menggunakan Service Worker, atau apakah sebuah ekstensi dapat menyuntikkan header CSP ke ekstensi lain
• Dibagikan pula cara menonaktifkan Service Worker pada browser berbasis Chromium melalui uBlock
  • How to disable Service Workers on Chromium based browsers through uBlock

Pertanyaan yang tersisa dan proses pengungkapan

• Beberapa balasan menyebut “Background fetch”, tetapi hubungan antara fitur ini dan kerentanan tersebut tidak terkonfirmasi jelas dalam teks asli
• Belum ada jawaban yang jelas apakah proses Service Worker dapat tetap bertahan di Edge tanpa proses browser utama, atau apakah menonaktifkan eksekusi latar belakang Edge akan mencegah eksekusi setelah browser ditutup
• Seorang pengguna menunjuk comment56 pada isu Chromium dan menyebut bahwa pihak yang mempublikasikannya adalah kubu Chromium
• Isu yang telah dipublikasikan itu kemudian kembali disetel menjadi nonpublik, dan beberapa pengguna menyebut arsipnya masih tersisa di archive.today, archive.is, dan archive.ph

[GN⁺]

Opini di Lobste.rs

• Alur dari "bukannya ini masih tampak cukup bisa dieksploitasi?" lalu dijawab dengan "belum coba sih, semoga tidak", "ah jangan.." itu setiap kali dilihat tetap terasa aneh tapi lucu

• Ini agak meragukan kalau disebut RCE browser
  Kurang lebih setara dengan RCE dalam arti saat membuka example.com, example.com bisa menjalankan kode di dalam browser saya
  Memang jadi masalah kalau tab yang sudah dibuka tetap terus memakai sumber daya bahkan setelah ditutup, tapi ini cukup jauh dari yang biasanya dimaksud dengan eksekusi kode jarak jauh pada browser

  • Ancaman terbesarnya tampaknya bukan pada pengguna yang "terinfeksi", melainkan pada internet yang lebih luas
    Ini terlihat seperti cara murah untuk menjalankan botnet terdistribusi atau menjual IP rumahan
  • Saya kurang tahu siapa yang mengklaim ini sebagai RCE

• Saya tidak mengerti kenapa Twitter dan klon-klonnya selalu punya pengalaman pengguna yang seburuk ini
  Membaca postingan yang tidak diurutkan secara kronologis rasanya seperti mau kena stroke
  Mungkin saya memang sedang berubah menjadi boomer yang buta teknologi

  • Bukankah Lobsters juga mirip?
    Di sana juga diatur berdasarkan thread