22 augustus 2024
Een zeer ernstige fout in de Chrome-browser van Google, die in het wild actief wordt uitgebuit, is verholpen door beveiligingsupdates die onlangs door het bedrijf zijn uitgebracht. De kwetsbaarheid, CVE-2024-7971, bleek een typeverwarringsprobleem te zijn in de V8 JavaScript- en WebAssembly-engine.
De National Vulnerability Database (NVD) van het National Institute of Standards and Technology (NIST) rapporteerde die verwarring veroorzaakte in V8 vóór versie 128.0.6613.84 van Google Chrome kan een aanvaller op afstand misbruik maken van heap-corruptie via een speciaal vervaardigde HTML-pagina.
Op 19 augustus 2024 werd de fout ontdekt en gerapporteerd door het Microsoft Threat Intelligence Center (MSTIC) en Microsoft Security Response Center (MSRC). Specifieke details over de aanvallen waarbij misbruik werd gemaakt van deze fout of de identiteit van de dreigingsactoren zijn echter nog niet bekendgemaakt. Google geeft er prioriteit aan om ervoor te zorgen dat de meeste gebruikers hun browsers hebben bijgewerkt met de oplossing.
Google heeft in een korte verklaring erkend dat er sprake is van een exploit voor CVE-2024-7971. momenteel actief in het wild. Dit is het derde geval van typeverwarring in V8 dat Google dit jaar heeft aangepakt, waarbij de eerdere kwetsbaarheden CVE-2024-4947 en CVE-2024-5274 waren.
In totaal heeft Google sinds begin 2024 negen zero-day-kwetsbaarheden in Chrome erkend, waaronder drie gedemonstreerd op Pwn2Own 2024:
- CVE-2024-0519: Geheugentoegang buiten het bereik in V8
- CVE-2024-2886: Gebruik-na-gratis in WebCodecs (gedemonstreerd op Pwn2Own 2024)
- CVE-2024-2887: Typeverwarring in WebAssembly (gedemonstreerd op Pwn2Own 2024)
- CVE-2024-3159: Geheugentoegang buiten het bereik in V8 (gedemonstreerd op Pwn2Own 2024)
- CVE-2024-4671: Gebruik-na-gratis in Visuals
- CVE-2024-4761: Schrijven buiten het bereik in V8
- CVE-2024-4947: Typeverwarring in V8
- CVE-2024-5274: Typeverwarring in V8
Het wordt aanbevolen dat gebruikers hun Chrome-browser updaten naar versie 128.0.6613.84/.85 voor Windows en macOS, en versie 128.0.6613.84 voor Linux om mogelijke risico's te beperken. Dit geldt ook voor degenen die Chromium-gebaseerde browsers gebruiken, zoals Microsoft Edge, Brave, Opera en Vivaldi, en updates moeten worden toegepast zodra ze beschikbaar komen.