Chrome'i uuendus 89.0.4389.128 0-päeva haavatavuse parandamisega. Chrome 90 viibib

Google on välja andnud Chrome 89.0.4389.128 versiooniuuenduse, mille käigus on parandatud kaks turvaauku (CVE-2021-21206, CVE-2021-21220), mille jaoks on olemas töötavad eksploidid (0-day). Turvaauk CVE-2021-21220 kasutati Chrome'i häkkimiseks Pwn2Own 2021 võistlusel.

Antud turvaaugu ekspluateerimine toimub kindlal viisil vormistatud WebAssembly koodi täitmise kaudu (turvaauk tuleneb veast WebAssembly virtuaalmasinas, mis võimaldab kirjutada või lugeda andmeid suvalisest mäluaadressist). Samuti on märgitud, et esitatud eksploit ei võimalda mööda minna liivakasti isoleerimisest ning täieliku rünnaku jaoks on vajalik avastada veel üks turvaauk liivakastist väljapääsemiseks (Pwn2Own 2021 võistlusel demonstreeriti sellist turvaauku Windowsi jaoks).

Näide eksploidist selle probleemi jaoks avaldati GitHubis pärast V8 mootori paranduse tegemist, kuid enne, kui brauserite uuendamine selle põhjal toimus (isegi kui eksploit ei oleks avaldatud, said kurjategijad võimaluse selle taastada V8 hoidla muudatuste analüüsi põhjal, nagu on varemgi juhtunud, juhul kui V8 parandused on juba avaldatud, kuid selle põhjal loodud tooted pole veel uuendatud).

Lisaks võib märkida, et Chrome 90 väljaandmise ajakava on muutunud Linuxi, Windowsi ja macOS-i jaoks. See väljaanne oli kavandatud 13. aprilliks, kuid eile ei avaldatud seda, ja avaldati vaid versioon Androidile. Täna on loodud täiendav beetaversioon Chrome 90-le. Uue väljalaskekuupäeva kohta teavet ei edastata.

Allikas: opennet.ru