22 Ağustos 2024
Google'ın Chrome tarayıcısında aktif olarak istismar edilen yüksek önemdeki bir kusur, şirketin yakın zamanda yayınladığı güvenlik güncellemeleriyle düzeltildi. CVE-2024-7971 güvenlik açığının, V8 JavaScript ve WebAssembly motorundaki tür karışıklığı sorunu olduğu tespit edildi.
Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) Ulusal Güvenlik Açığı Veri Tabanı (NVD), 128.0.6613.84 sürümünden önceki V8'deki karışıklığı belirten raporlanmıştır Google Chrome'da uzaktaki bir saldırgan, özel hazırlanmış bir HTML sayfası aracılığıyla yığın bozulmasından yararlanabilir.
19 Ağustos 2024'te kusur, Microsoft Tehdit İstihbaratı Merkezi (MSTIC) ve Microsoft Güvenlik Yanıt Merkezi (MSRC) tarafından keşfedilip bildirildi. Ancak bu kusurdan yararlanan saldırılara veya tehdit aktörlerinin kimliklerine ilişkin spesifik ayrıntılar henüz açıklanmadı. Google, çoğu kullanıcının tarayıcılarını düzeltmeyle güncellemesini sağlamaya öncelik veriyor.
Google, kısa bir beyanla CVE-2024-7971'e yönelik bir istismarın farkında olduğunu kabul etti şu anda vahşi doğada aktif. Bu, Google'ın bu yıl ele aldığı V8'deki tür karışıklığı güvenlik açığının üçüncü örneğini işaret ediyor; önceki güvenlik açıkları CVE-2024-4947 ve CVE-2024-5274'tü.
Google, 2024'ün başından bu yana Chrome'da toplam dokuz sıfır gün güvenlik açığını kabul etti; bunlardan üçü Pwn2Own 2024'te gösterildi:
- CVE-2024-0519: V8'de sınırların dışında bellek erişimi
- CVE-2024-2886: WebCodecs'te ücretsiz kullanım (Pwn2Own 2024'te gösterilmiştir)
- CVE-2024-2887: WebAssembly'de tür karışıklığı (Pwn2Own 2024'te gösterilmiştir)
- CVE-2024-3159: V8'de sınırların dışında bellek erişimi (Pwn2Own 2024'te gösterilmiştir)
- CVE-2024-4671: Görsellerde ücretsiz kullanım sonrası
- CVE-2024-4761: V8'de sınırların dışında yazma
- CVE-2024-4947: V8'de tür karışıklığı
- CVE-2024-5274: V8'de tür karışıklığı
Potansiyel riskleri azaltmak amacıyla kullanıcıların Chrome tarayıcılarını Windows ve macOS için 128.0.6613.84/.85 sürümüne ve Linux için 128.0.6613.84 sürümüne güncellemeleri önerilir. Bu, Microsoft Edge, Brave, Opera ve Vivaldi gibi Chromium tabanlı tarayıcıları kullananlar için de geçerlidir ve güncellemeler kullanıma sunulduktan hemen sonra uygulanmalıdır.