Ngày 22 tháng 8 năm 2024
Một lỗ hổng có mức độ nghiêm trọng cao trong trình duyệt Chrome của Google, vốn đã bị khai thác rộng rãi, đã được sửa bằng các bản cập nhật bảo mật do công ty phát hành gần đây. Lỗ hổng CVE-2024-7971 được phát hiện là sự cố nhầm lẫn loại trong công cụ V8 JavaScript và WebAssugging.
Cơ sở dữ liệu về lỗ hổng bảo mật quốc gia (NVD) của Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) đã báo cáo gây nhầm lẫn trong V8 trước phiên bản 128.0.6613.84 của Google Chrome, kẻ tấn công từ xa có thể khai thác lỗi heap thông qua trang HTML được tạo đặc biệt.
Vào ngày 19 tháng 8 năm 2024, lỗ hổng này đã được phát hiện và báo cáo bởi Trung tâm thông tin về mối đe dọa của Microsoft (MSTIC) và Trung tâm phản hồi bảo mật của Microsoft (MSRC). Tuy nhiên, chi tiết cụ thể về các cuộc tấn công khai thác lỗ hổng này hoặc danh tính của các tác nhân đe dọa vẫn chưa được tiết lộ. Google đang ưu tiên đảm bảo rằng hầu hết người dùng đã cập nhật bản sửa lỗi cho trình duyệt của họ.
Google đã xác nhận nhận thức về việc khai thác CVE-2024-7971 trong một tuyên bố ngắn gọn. hiện đang hoạt động trong tự nhiên. Đây là trường hợp thứ ba về lỗ hổng nhầm lẫn loại trong V8 mà Google đã giải quyết trong năm nay, với các lỗ hổng trước đó là CVE-2024-4947 và CVE-2024-5274.
Tổng cộng, Google đã thừa nhận 9 lỗ hổng zero-day trên Chrome kể từ đầu năm 2024, trong đó có 3 lỗ hổng được chứng minh tại Pwn2Own 2024:
- CVE-2024-0519: Truy cập bộ nhớ ngoài giới hạn trong V8
- CVE-2024-2886: Sử dụng miễn phí trong WebCodec (được trình diễn tại Pwn2Own 2024)
- CVE-2024-2887: Nhầm lẫn về gõ trong WebAssembly (được chứng minh tại Pwn2Own 2024)
- CVE-2024-3159: Truy cập bộ nhớ ngoài giới hạn ở V8 (được trình diễn tại Pwn2Own 2024)
- CVE-2024-4671: Sử dụng miễn phí trong Hình ảnh
- CVE-2024-4761: Ghi ngoài giới hạn bằng V8
- CVE-2024-4947: Nhầm lẫn về kiểu chữ trong V8
- CVE-2024-5274: Nhầm lẫn về kiểu chữ trong V8
Người dùng nên cập nhật trình duyệt Chrome của mình lên phiên bản 128.0.6613.84/.85 cho Windows và macOS cũng như phiên bản 128.0.6613.84 cho Linux để giảm thiểu mọi rủi ro tiềm ẩn. Điều này cũng áp dụng cho những người sử dụng các trình duyệt dựa trên Chrome như Microsoft Edge, Brave, Opera và Vivaldi và các bản cập nhật sẽ được áp dụng ngay khi chúng có sẵn.