2024. gada 22. augusts
Ļoti nopietna kļūda Google pārlūkprogrammā Chrome, kas tika aktīvi izmantota savvaļā, ir novērsta ar drošības atjauninājumiem, ko uzņēmums nesen izlaida. Tika konstatēts, ka ievainojamība CVE-2024-7971 ir veida sajaukšanas problēma V8 JavaScript un WebAssembly dzinējā.
Nacionālā standartu un tehnoloģiju institūta (NIST) Nacionālā neaizsargātības datu bāze (NVD) ziņoja, kas rada neskaidrības V8 pirms versijas 128.0.6613.84. Google Chrome, attālais uzbrucējs var izmantot kaudzes bojājumus, izmantojot īpaši izveidotu HTML lapu.
2024. gada 19. augustā defektu atklāja un par to ziņoja Microsoft draudu izlūkošanas centrs (MSTIC) un Microsoft Security Response Center (MSRC). Tomēr konkrēta informācija par uzbrukumiem, kuros tika izmantots šis trūkums, vai draudu dalībnieku identitātes pagaidām netiek atklātas. Google nosaka prioritāti, lai nodrošinātu, ka lielākā daļa lietotāju ir atjauninājuši savas pārlūkprogrammas ar labojumu.
Google īsā paziņojumā ir atzinis par CVE-2024-7971 izmantošanu. šobrīd aktīvi darbojas savvaļā. Šis ir trešais V8 tipa ievainojamības gadījums, ko Google ir novērsis šogad, un iepriekšējās ievainojamības bija CVE-2024-4947 un CVE-2024-5274.
Kopumā kopš 2024. gada sākuma Google ir apstiprinājis deviņas nulles dienas ievainojamības pārlūkā Chrome, tostarp trīs, kas tika demonstrētas Pwn2Own 2024:
- CVE-2024-0519: Piekļuve atmiņai ārpus robežām V8
- CVE-2024-2886: bez maksas izmantot WebCodecs (demonstrēts Pwn2Own 2024)
- CVE-2024-2887: Veida neskaidrības WebAssembly (demonstrēts Pwn2Own 2024)
- CVE-2024-3159: Piekļuve atmiņai ārpus robežām V8 versijā (demonstrēta Pwn2Own 2024)
- CVE-2024-4671: bez maksas lietotnē Visuals
- CVE-2024-4761: Ārpus robežām rakstīt V8
- CVE-2024-4947: Veida neskaidrības V8
- CVE-2024-5274: Veida neskaidrības V8
Lai mazinātu iespējamos riskus, lietotājiem ieteicams atjaunināt pārlūkprogrammu Chrome uz versiju 128.0.6613.84/.85 operētājsistēmai Windows un macOS un versiju 128.0.6613.84 operētājsistēmai Linux. Tas attiecas arī uz tiem, kas izmanto pārlūkprogrammas, kuru pamatā ir Chromium, piemēram, Microsoft Edge, Brave, Opera un Vivaldi, un atjauninājumi ir jāpiemēro, tiklīdz tie kļūst pieejami.