22. avgust 2024
Zelo resna napaka v Googlovem brskalniku Chrome, ki je bila aktivno izkoriščena v divjini, je bila odpravljena z varnostnimi posodobitvami, ki jih je nedavno izdalo podjetje. Ugotovljeno je bilo, da je ranljivost, CVE-2024-7971, težava z zamenjavo tipa v motorju V8 JavaScript in WebAssembly.
Nacionalna zbirka podatkov o ranljivostih (NVD) Nacionalnega inštituta za standarde in tehnologijo (NIST) je poročala, ki v V8 pred različico 128.0.6613.84 povzroča zmedo Google Chroma lahko oddaljeni napadalec izkoristi poškodbo kopice prek posebej oblikovane strani HTML.
- avgusta 2024 sta Microsoft Threat Intelligence Center (MSTIC) in Microsoft Security Response Center (MSRC) odkrila napako in jo prijavila. Vendar posebne podrobnosti o napadih, ki so izkoristili to napako, ali identitete akterjev groženj še niso bile razkrite. Google daje prednost zagotavljanju, da je večina uporabnikov posodobila svoje brskalnike s popravkom.
Google je potrdil zavedanje o izkoriščanju za CVE-2024-7971 v kratki izjavi, ki je trenutno aktivna v naravi. To je tretji primer ranljivosti zmede tipa v V8, ki ga je Google obravnaval letos, pri čemer sta bili prejšnji ranljivosti CVE-2024-4947 in CVE-2024-5274.
Google je od začetka leta 2024 skupno potrdil devet ranljivosti ničelnega dne v Chromu, vključno s tremi, prikazanimi na Pwn2Own 2024:
- CVE-2024-0519: Dostop do pomnilnika izven meja v V8
- CVE-2024-2886: Use-after-free v spletnih kodekih (demonstrirano na Pwn2Own 2024)
- CVE-2024-2887: Zmeda tipov v WebAssembly (dokazano na Pwn2Own 2024)
- CVE-2024-3159: Dostop do pomnilnika izven meja v V8 (dokazano na Pwn2Own 2024)
- CVE-2024-4671: Brezplačna uporaba v vizualnih elementih
- CVE-2024-4761: Pisanje izven meja v V8
- CVE-2024-4947: Vrsta zmede v V8
- CVE-2024-5274: Vrsta zmede v V8
Priporočamo, da uporabniki svoj brskalnik Chrome posodobijo na različico 128.0.6613.84/.85 za Windows in macOS ter različico 128.0.6613.84 za Linux, da zmanjšajo morebitna tveganja. To velja tudi za tiste, ki uporabljajo brskalnike, ki temeljijo na Chromiumu, kot so Microsoft Edge, Brave, Opera in Vivaldi, posodobitve pa je treba uporabiti takoj, ko so na voljo.