La empresa Google ha lanzado la actualización Chrome 89.0.4389.128, en la que se corrigen dos vulnerabilidades (CVE-2021-21206, CVE-2021-21220) para las cuales existen exploits funcionales (0-day). La vulnerabilidad CVE-2021-21220 fue utilizada para hackear Chrome en la competencia Pwn2Own 2021.
La explotación de la vulnerabilidad mencionada se realiza a través de la ejecución de un código WebAssembly diseñado de cierta manera (la vulnerabilidad es causada por un error en la máquina virtual WebAssembly, que permite leer o escribir datos en una dirección arbitraria en la memoria). Se señala que el exploit mostrado no permite eludir la aislamiento de sandbox y que se requiere descubrir otra vulnerabilidad para llevar a cabo un ataque completo para salir del sandbox (en la competencia Pwn2Own 2021 se demostró tal vulnerabilidad para Windows).
Un ejemplo del exploit para este problema fue publicado en GitHub después de que se implementara una corrección en el motor V8, pero sin esperar a que se lanzara una actualización del navegador basada en eso (incluso si el exploit no se hubiera publicado, los atacantes habrían podido recrearlo a partir del análisis de los cambios en el repositorio V8, lo que ya había ocurrido anteriormente debido a situaciones en las que la corrección en V8 se había publicado, pero los productos basados en él aún no estaban actualizados).
También se puede mencionar un cambio en el cronograma de publicación de la versión Chrome 90 para Linux, Windows y macOS. Este lanzamiento estaba programado para el 13 de abril, pero ayer no se publicó, y solo salió una versión para Android. Hoy se ha generado un lanzamiento beta adicional de Chrome 90. No se ha informado de una nueva fecha de lanzamiento.
Fuente: opennet.ru
