В официальном блоге Chrome появилась информация об устранении серьезной уязвимости, связанной с некорректной обработкой заголовков CSP (Content Security Policy, «политика защиты контента»). Стандарт CSP, в сущности, позволяет защитить от атак с внедрением контента и дает разработчикам сайтов возможность четко объяснить браузеру, например, на какие адреса тот может выполнять межсайтовые запросы.
Сообщается, что проблему обнаружил независимый исследователь Михаль Бентковски (Michał Bentkowski), и ей был присвоен идентификатор CVE-2018-6148.
Известно, что уязвимость затрагивает Chrome для Windows, Mac и Linux, а также, вероятно, представляет опасность для других проектов. Так как проблема весьма серьезная, пока никаких подробностей и ссылок опубликовано не было. Таким образом разработчики дают пользователям больше времени на обновление браузера до безопасной версии 67.0.3396.79.
Однако инженеры Google напоминают, что детали о проблеме могут не разглашаться в силу того, что баг содержится в сторонней библиотеке, которая может использоваться в других проектах, а для них еще нет исправлений.
