22 Agustus 2024
Kelemahan yang sangat parah pada browser Chrome Google, yang telah dieksploitasi secara aktif, telah diperbaiki melalui pembaruan keamanan yang baru-baru ini dirilis oleh perusahaan. Kerentanannya, CVE-2024-7971, ditemukan sebagai masalah kebingungan tipe di mesin JavaScript V8 dan WebAssembly.
Basis Data Kerentanan Nasional (NVD) Institut Standar dan Teknologi Nasional (NIST) dilaporkan yang menimbulkan kebingungan di V8 sebelum versi 128.0.6613.84 dari Google Chrome, penyerang jarak jauh dapat mengeksploitasi kerusakan tumpukan melalui halaman HTML yang dibuat khusus.
Pada 19 Agustus 2024, kelemahan tersebut ditemukan dan dilaporkan oleh Microsoft Threat Intelligence Center (MSTIC) dan Microsoft Security Response Center (MSRC). Namun, rincian spesifik mengenai serangan yang mengeksploitasi kelemahan ini atau identitas pelaku ancaman belum diungkapkan. Google memprioritaskan untuk memastikan bahwa sebagian besar pengguna telah memperbarui browser mereka dengan perbaikan.
Google telah mengakui kesadaran akan eksploitasi untuk CVE-2024-7971 dalam pernyataan singkat, yaitu saat ini sedang aktif di alam liar. Ini menandai contoh ketiga kerentanan kebingungan tipe di V8 yang telah ditangani Google tahun ini, dengan kerentanan sebelumnya adalah CVE-2024-4947 dan CVE-2024-5274.
Secara total, Google telah mengakui sembilan kerentanan zero-day di Chrome sejak awal tahun 2024, termasuk tiga yang ditunjukkan di Pwn2Own 2024:
- CVE-2024-0519: Akses memori di luar batas di V8
- CVE-2024-2886: Penggunaan setelah bebas di WebCodecs (ditunjukkan di Pwn2Own 2024)
- CVE-2024-2887: Kebingungan ketik di WebAssembly (ditunjukkan di Pwn2Own 2024)
- CVE-2024-3159: Akses memori di luar batas di V8 (ditunjukkan di Pwn2Own 2024)
- CVE-2024-4671: Penggunaan setelah bebas dalam Visual
- CVE-2024-4761: Penulisan di luar batas di V8
- CVE-2024-4947: Ketik kebingungan di V8
- CVE-2024-5274: Ketik kebingungan di V8
Disarankan agar pengguna memperbarui browser Chrome mereka ke versi 128.0.6613.84/.85 untuk Windows dan macOS, dan versi 128.0.6613.84 untuk Linux guna memitigasi potensi risiko. Hal ini juga berlaku bagi mereka yang menggunakan browser berbasis Chromium seperti Microsoft Edge, Brave, Opera, dan Vivaldi, dan pembaruan harus diterapkan segera setelah tersedia.