22. august 2024
En alvorlig fejl i Googles Chrome-browser, som er blevet aktivt udnyttet i naturen, er blevet rettet af sikkerhedsopdateringer, som virksomheden for nylig har udgivet. Sårbarheden, CVE-2024-7971, blev fundet at være et typeforvirringsproblem i V8 JavaScript og WebAssembly-motoren.
National Institute of Standards and Technologys (NIST) National Vulnerability Database (NVD) rapporteret, den type forvirring i V8 før version 128.0.6613.84 af Google Chrome, kunne en fjernangriber udnytte heap-korruption gennem en specielt udformet HTML-side.
Den 19. august 2024 blev fejlen opdaget og rapporteret af Microsoft Threat Intelligence Center (MSTIC) og Microsoft Security Response Center (MSRC). Specifikke detaljer om angrebene, der udnyttede denne fejl, eller identiteten på trusselsaktørerne er dog ikke blevet afsløret endnu. Google prioriterer at sikre, at de fleste brugere har opdateret deres browsere med rettelsen.
Google har anerkendt bevidstheden om en udnyttelse af CVE-2024-7971 i en kort erklæring, som er er i øjeblikket aktiv i naturen. Dette markerer det tredje tilfælde af typeforvirringssårbarhed i V8, som Google har behandlet i år, hvor de tidligere sårbarheder er CVE-2024-4947 og CVE-2024-5274.
I alt har Google givet anerkendelser af ni nul-dages sårbarheder i Chrome siden begyndelsen af 2024, herunder tre demonstreret på Pwn2Own 2024:
- CVE-2024-0519: Out-of-bounds hukommelsesadgang i V8
- CVE-2024-2886: Brug-efter-gratis i WebCodecs (demonstreret på Pwn2Own 2024)
- CVE-2024-2887: Typeforvirring i WebAssembly (demonstreret på Pwn2Own 2024)
- CVE-2024-3159: Out-of-bounds hukommelsesadgang i V8 (demonstreret på Pwn2Own 2024)
- CVE-2024-4671: Brug-efter-fri i Visuals
- CVE-2024-4761: Out-of-bounds skriv i V8
- CVE-2024-4947: Typeforvirring i V8
- CVE-2024-5274: Typeforvirring i V8
Det anbefales, at brugere opdaterer deres Chrome-browser til version 128.0.6613.84/.85 til Windows og macOS og version 128.0.6613.84 til Linux for at mindske eventuelle potentielle risici. Dette gælder også for dem, der bruger Chromium-baserede browsere som Microsoft Edge, Brave, Opera og Vivaldi, og opdateringer bør anvendes, så snart de bliver tilgængelige.