22 august 2024
O defecțiune de mare severitate a browserului Google Chrome, care a fost exploatat activ în sălbăticie, a fost remediată prin actualizările de securitate lansate recent de companie. Vulnerabilitatea, CVE-2024-7971, a fost găsită a fi o problemă de confuzie de tip în motorul V8 JavaScript și WebAssembly.
National Vulnerability Database (NVD) a Institutului Național de Standarde și Tehnologie (NIST) raportat care tip confuzie în V8 înainte de versiunea 128.0.6613.84 din Google Chrome, un atacator de la distanță ar putea exploata corupția heap printr-o pagină HTML special creată.
Pe 19 august 2024, defectul a fost descoperit și raportat de Centrul de informații despre amenințări Microsoft (MSTIC) și Centrul de răspuns de securitate Microsoft (MSRC). Cu toate acestea, detalii specifice despre atacurile care au exploatat acest defect sau identitățile actorilor amenințărilor nu au fost încă dezvăluite. Google acordă prioritate să se asigure că majoritatea utilizatorilor și-au actualizat browserele cu soluția.
Google a acknowledged conștientizarea unui exploit pentru CVE-2024-7971 într-o scurtă declarație, care este activ în prezent în sălbăticie. Aceasta marchează a treia instanță de vulnerabilitate de tip confuzie în V8 pe care Google a abordat-o în acest an, vulnerabilitățile anterioare fiind CVE-2024-4947 și CVE-2024-5274.
În total, Google a recunoscut nouă vulnerabilități zero-day în Chrome de la începutul anului 2024, inclusiv trei demonstrate la Pwn2Own 2024:
- CVE-2024-0519: Acces la memorie în afara limitelor în V8
- CVE-2024-2886: Utilizare după gratuită în WebCodecs (demonstrat la Pwn2Own 2024)
- CVE-2024-2887: Tip confuzie în WebAssembly (demonstrat la Pwn2Own 2024)
- CVE-2024-3159: Acces la memorie în afara limitelor în V8 (demonstrat la Pwn2Own 2024)
- CVE-2024-4671: Utilizare după-gratuit în imagini
- CVE-2024-4761: Scrieți în afara limitelor în V8
- CVE-2024-4947: Tip confuzie în V8
- CVE-2024-5274: Tip confuzie în V8
Se recomandă utilizatorilor să-și actualizeze browserul Chrome la versiunea 128.0.6613.84/.85 pentru Windows și macOS și la versiunea 128.0.6613.84 pentru Linux, pentru a atenua orice riscuri potențiale. Acest lucru se aplică și celor care folosesc browsere bazate pe Chromium, cum ar fi Microsoft Edge, Brave, Opera și Vivaldi, iar actualizările ar trebui aplicate imediat ce devin disponibile.