क्रोम 89.0.4389.128 अपडेट 0-दिन की भेद्यता फिक्स के साथ। क्रोम 90 में देरी हो रही है

Google ने Chrome 89.0.4389.128 के लिए एक अपडेट बनाया है, जो दो कमजोरियों (CVE-2021-21206, CVE-2021-21220) को ठीक करता है, जिसके लिए कार्यशील शोषण उपलब्ध हैं (0-दिन)। Pwn2021Own 21220 प्रतियोगिता में Chrome को हैक करने के लिए CVE-2-2021 भेद्यता का उपयोग किया गया था।

इस भेद्यता का शोषण एक निश्चित तरीके से WebAssembly कोड के निष्पादन के माध्यम से किया जाता है (भेद्यता WebAssembly वर्चुअल मशीन में एक त्रुटि के कारण होती है, जो आपको मेमोरी में एक मनमाने पते पर डेटा लिखने या पढ़ने की अनुमति देती है)। यह नोट किया गया है कि प्रदर्शित शोषण किसी को सैंडबॉक्स अलगाव को बायपास करने की अनुमति नहीं देता है और एक पूर्ण हमले के लिए सैंडबॉक्स से बाहर निकलने के लिए एक और भेद्यता की खोज की आवश्यकता होती है (ऐसी भेद्यता Pwn2Own 2021 प्रतियोगिता में विंडोज के लिए प्रदर्शित की गई थी)।

V8 इंजन में सुधार किए जाने के बाद इस समस्या के लिए एक शोषण का उदाहरण GitHub पर प्रकाशित किया गया था, लेकिन इसके आधार पर ब्राउज़र अपडेट उत्पन्न होने की प्रतीक्षा किए बिना (भले ही शोषण प्रकाशित नहीं हुआ था, हमलावर फिर से बनाने में सक्षम थे) यह V8 रिपॉजिटरी में परिवर्तनों के विश्लेषण पर आधारित है, जो पहले ही ऐसी स्थिति के कारण हो चुका है जहां V8 में एक फिक्स पहले ही प्रकाशित हो चुका है, लेकिन इस पर आधारित उत्पादों को अभी तक अपडेट नहीं किया गया है)।

इसके अतिरिक्त, आप Linux, Windows और macOS के लिए Chrome 90 की रिलीज़ के लिए प्रकाशन शेड्यूल में बदलाव को नोट कर सकते हैं। यह रिलीज़ 13 अप्रैल के लिए निर्धारित थी, लेकिन कल प्रकाशित नहीं हुई, और केवल Android के लिए संस्करण जारी किया गया। Chrome 90 का एक अतिरिक्त बीटा रिलीज़ आज बनाया गया। नई रिलीज़ तिथि की घोषणा नहीं की गई है।

स्रोत: opennet.ru