Google hat das Update Chrome 89.0.4389.128 veröffentlicht, in dem zwei Sicherheitsanfälligkeiten (CVE-2021-21206, CVE-2021-21220) behoben wurden, für die Exploits verfügbar sind (0-Day). Die Schwachstelle CVE-2021-21220 wurde beim Pwn2Own 2021-Wettbewerb für einen Angriff auf Chrome genutzt.
Die Ausnutzung der genannten Sicherheitsanfälligkeit erfolgt durch die Ausführung von speziell gestalteten WebAssembly-Codes (die Anfälligkeit ergibt sich aus einem Fehler in der WebAssembly-VM, die es erlaubt, Daten an oder von einer beliebigen Adresse im Speicher zu lesen oder zu schreiben). Es wird jedoch darauf hingewiesen, dass der dargestellte Exploit die Sandbox-Isolierung nicht umgehen kann und für einen vollständigen Angriff die Entdeckung einer weiteren Schwachstelle erforderlich ist, um die Sandbox zu verlassen (eine solche Anfälligkeit wurde beim Wettbewerb Pwn2Own 2021 für Windows demonstriert).
Ein Exploit für dieses Problem wurde auf GitHub veröffentlicht, nachdem der V8-Motor gepatcht wurde, jedoch noch bevor die Browser-Updates auf dieser Basis verfügbar waren (selbst ohne die Veröffentlichung des Exploits hätten Angreifer durch die Analyse der Änderungen im V8-Repository in der Lage gewesen, diesen nachzubilden, was in der Vergangenheit bereits vorgekommen ist, wenn ein Patch für V8 bereits veröffentlicht wurde, die darauf basierenden Produkte jedoch noch nicht aktualisiert waren).
Zusätzlich ist eine Verschiebung des Veröffentlichungszeitplans für Chrome 90 auf Linux, Windows und macOS zu vermerken. Dieser Release war ursprünglich für den 13. April geplant, wurde jedoch gestern nicht veröffentlicht; stattdessen erschien nur die Version für Android. Heute wurde ein zusätzlicher Beta-Release für Chrome 90 erstellt. Es gibt keine Informationen über ein neues Veröffentlichungsdatum.
Quelle: opennet.ru
