U značajnom potezu za jačanje sigurnosti svog široko korišćenog V8 JavaScript motora, Google je predstavio V8 Sandbox, vrhunski mehanizam za sprečavanje napada oštećenja memorije.
V8 Sandbox predstavlja proaktivan pristup sajber sigurnosti, koji radi pod pretpostavkom da napadači mogu dobiti proizvoljan pristup za čitanje i pisanje unutar sandbox okruženja.
Primarni cilj ove nove funkcije je spriječiti sve pokušaje oštećenja memorije koji bi mogli uticati na područja izvan sandbox-a.
“Cilj RCE eksploatacije bi obično bio izvođenje napada eskalacije privilegija, na primjer, izvršavanjem shellcode-a ili izvođenjem napada u stilu programiranja orijentisanog na povratak (ROP).
Za bilo koji od ovih, exploit će prvo željeti mogućnost čitanja i pisanja proizvoljne memorije u procesu, na primjer, da pokvari pokazivač funkcije ili stavi ROP-korisno opterećenje negdje u memoriju i okrene se prema njemu.” V8 tim je rekao.
Emuliranje napadača za poboljšanu sigurnost
Kako bi simulirao potencijalne prijetnje, Google je opremio V8 motor jedinstvenim „API-jem za oštećenje memorije“, koji se aktivira kada je motor napravljen sa zastavicom v8_enable_memory_corruption_api = true.
Ovaj API je dizajniran da oponaša mogućnosti koje napadači mogu iskoristiti kroz uobičajene V8 ranjivosti, dajući im puni pristup za čitanje i pisanje unutar granica sandbox-a.
Google je takođe implementirao “testing sandbox” mod, koji se može omogućiti putem --sandbox-testingili --sandbox-fuzzingzastavica. Ovaj režim uvodi rukovaoca signalom koji identifikuje da li signali, kao što je SIGSEGV, ukazuju na kršenje sigurnosnih protokola sandbox-a.
Integracija u Chromeov program nagrađivanja ranjivosti (VRP)
Integracija V8 Sandbox-a u Chrome-ov VRP omogućava ekstenzivno fuzziranje pomoću specijalizovanih alata, osiguravajući da se sve potencijalne sigurnosne greške identifikuju i odmah riješe. Ova integracija je dokaz Googleove posvećenosti održavanju robusnih sigurnosnih standarda.
V8 Sandbox mora biti omogućen ili onemogućen kada se gradi sa v8_enable_sandbox zastavicom izgradnje. Uprkos tome što nije u potpunosti kompletan sa funkcijama, Google je uveo sandbox kako bi prikupio podatke o performansama u stvarnom svijetu i osigurao da to ne ugrožava stabilnost.
Nedavni eksploati koji ciljaju V8 su već morali da se bore sa sandboxom, pružajući Googleu vrijedan uvid u njegovu efikasnost.
Uvođenje V8 Sandboxa označava značajan napredak u sigurnosnom okruženju web pretraživača.
Sprečavanjem oštećenja memorije unutar V8, Google ima za cilj uspostaviti sandbox kao odbranjiviju sigurnosnu granicu od samog motora. Uz stalna poboljšanja i rigorozno testiranje, V8 Sandbox je spreman da postane kamen temeljac sigurnog pretraživanja weba.
Izvor: CybersecurityNews