2024 m. rugpjūčio 22 d
Labai rimtas „Google Chrome“ naršyklės trūkumas, kuris buvo aktyviai naudojamas laukinėje gamtoje, buvo ištaisytas neseniai bendrovės išleistais saugos naujiniais. Nustatyta, kad pažeidžiamumas CVE-2024-7971 yra V8 JavaScript ir WebAssembly variklio tipo painiavos problema.
Nacionalinio standartų ir technologijų instituto (NIST) nacionalinė pažeidžiamumo duomenų bazė (NVD) pranešė, kad V8 prieš 128.0.6613.84 versiją sukelia painiavą. „Google Chrome“, nuotolinis užpuolikas gali išnaudoti krūvos korupciją per specialiai sukurtą HTML puslapį.
2024 m. rugpjūčio 19 d. trūkumą aptiko ir pranešė „Microsoft Threat Intelligence Center“ (MSTIC) ir „Microsoft Security Response Center“ (MSRC). Tačiau konkrečios detalės apie išpuolius, kuriuose buvo panaudotas šis trūkumas, ar grėsmės veikėjų tapatybės kol kas neatskleidžiami. „Google“ teikia pirmenybę siekdama užtikrinti, kad dauguma vartotojų atnaujintų savo naršykles su pataisa.
„Google“ pripažino apie CVE-2024-7971 išnaudojimą trumpame pareiškime, kuris yra šiuo metu aktyvus gamtoje. Tai yra trečiasis V8 versijos tipo painiavos pažeidžiamumo atvejis, kurį „Google“ pašalino šiais metais, o ankstesni pažeidžiamumas buvo CVE-2024-4947 ir CVE-2024-5274.
Iš viso „Google“ nuo 2024 m. pradžios patvirtino devynis nulinės dienos „Chrome“ pažeidžiamumus, įskaitant tris, parodytus „Pwn2Own 2024“:
- CVE-2024-0519: V8 prieiga prie atminties ribų
- CVE-2024-2886: „WebCodecs“ nemokamas naudojimas (parodyta „Pwn2Own 2024“)
- CVE-2024-2887: Tipo painiava WebAssembly (parodyta Pwn2Own 2024)
- CVE-2024-3159: V8 prieiga prie atminties ribų (parodyta Pwn2Own 2024)
- CVE-2024-4671: „Visuals“ nenaudojamas po to
- CVE-2024-4761: Už ribų rašykite V8
- CVE-2024-4947: V8 tipo painiavos
- CVE-2024-5274: V8 tipo painiavos
Naudotojams rekomenduojama atnaujinti „Chrome“ naršyklę į 128.0.6613.84/.85 versiją, skirtą „Windows“ ir „MacOS“, ir 128.0.6613.84, skirtą „Linux“, kad sumažintų bet kokią galimą riziką. Tai taip pat taikoma tiems, kurie naudoja „Chromium“ pagrįstas naršykles, tokias kaip „Microsoft Edge“, „Brave“, „Opera“ ir „Vivaldi“, o naujinimai turėtų būti taikomi iškart, kai tik jie bus pasiekiami.