Chrome 89.0.4389.128 värskendus 0-päevase haavatavuse parandusega. Chrome 90 hilineb

Google on välja andnud Chrome'i värskenduse 89.0.4389.128, mis parandab kaks haavatavust (CVE-2021-21206 ja CVE-2021-21220), millele on saadaval toimivad nullpäeva haavatavused. CVE-2021-21220 abil häkiti Chrome'i Pwn2Own 2021 võistluse ajal.

Haavatavust ära kasutades käivitatakse spetsiaalselt loodud WebAssembly kood (haavatavuse põhjustab WebAssembly virtuaalmasina viga, mis võimaldab andmeid kirjutada või lugeda suvaliselt mäluaadressilt). Märgitakse, et näidatud ärakasutamine ei möödu liivakasti isolatsioonist ning täieulatuslik rünnak nõuab liivakastist pääsemiseks teise haavatavuse avastamist (sellist haavatavust demonstreeriti Pwn2Own 2021 võistlusel). Windows).

Selle probleemi näidisärakasutamine avaldati GitHubis pärast V8 mootori paranduse avaldamist, kuid enne sellel põhinevate brauserivärskenduste avaldamist (isegi kui ärakasutamist poleks avaldatud, oleksid ründajad saanud selle V8 repositooriumi muudatuste põhjal uuesti luua, mis on varem juhtunud olukorra tõttu, kus V8 parandus on juba avaldatud, kuid sellel põhinevaid tooteid pole veel uuendatud).

Lisaks väärib märkimist Chrome 90 väljalaskegraafiku muutus. Linux, Windows и macOSSee number oli kavandatud ilmuma 13. aprillil, kuid seda ei avaldatud eile ja ainult selle number AndroidTäna avaldati Chrome 90 täiendav beetaversioon. Uut väljalaskekuupäeva pole veel avaldatud.

Allikas: opennet.ru