22 серпня 2024 року
Серйозний недолік у браузері Google Chrome, який активно використовувався в дикій природі, був виправлений оновленнями безпеки, нещодавно випущеними компанією. Вразливість, CVE-2024-7971, виявилася проблемою плутанини типів у V8 JavaScript і механізмі WebAssembly.
Національна база даних про вразливості (NVD) Національного інституту стандартів і технологій (NIST) повідомляє, що вводить плутанину у V8 до версії 128.0.6613.84 Google Chrome віддалений зловмисник може використати пошкодження купи через спеціально створену сторінку HTML.
19 серпня 2024 року помилку було виявлено та повідомлено Центром аналізу загроз Microsoft (MSTIC) і Центром безпеки Microsoft (MSRC). Однак конкретні подробиці про атаки, які використовували цей недолік, або особи учасників загрози поки не розголошуються. Google приділяє першочергову увагу тому, щоб більшість користувачів оновили свої браузери за допомогою виправлення.
Google підтвердив інформацію про експлойт для CVE-2024-7971 у короткій заяві, яка в даний час активні в дикій природі. Це третій випадок уразливості плутанини типів у V8, який Google усунув цього року, з попередніми уразливостями CVE-2024-4947 і CVE-2024-5274.
Загалом з початку 2024 року Google визнав дев’ять уразливостей нульового дня в Chrome, у тому числі три, продемонстровані на Pwn2Own 2024:
- CVE-2024-0519: Доступ до пам’яті поза межами у V8
- CVE-2024-2886: Use-after-free у WebCodecs (демонстровано на Pwn2Own 2024)
- CVE-2024-2887: Плутанина типів у WebAssembly (демонстровано на Pwn2Own 2024)
- CVE-2024-3159: Доступ до пам’яті поза межами у V8 (демонстровано на Pwn2Own 2024)
- CVE-2024-4671: Використовуйте після-безкоштовно у Visuals
- CVE-2024-4761: Поза межами запису у V8
- CVE-2024-4947: Плутанина типів у V8
- CVE-2024-5274: Плутанина типів у V8
Рекомендується, щоб користувачі оновили свій браузер Chrome до версії 128.0.6613.84/.85 для Windows і macOS і версії 128.0.6613.84 для Linux, щоб зменшити потенційні ризики. Це також стосується тих, хто використовує браузери на основі Chromium, такі як Microsoft Edge, Brave, Opera та Vivaldi, і оновлення слід застосовувати, як тільки вони стануть доступними.