Google je izradio ažuriranje za Chrome 89.0.4389.128, koje popravlja dvije ranjivosti (CVE-2021-21206, CVE-2021-21220), za koje su dostupni radni exploiti (0 dana). Ranjivost CVE-2021-21220 korištena je za hakiranje Chromea na natjecanju Pwn2Own 2021.
Ranjivost se iskorištava izvršavanjem posebno izrađenog WebAssembly koda (ranjivost je uzrokovana pogreškom u virtualnom stroju WebAssembly koji omogućuje pisanje ili čitanje podataka s proizvoljne memorijske adrese). Napominje se da prikazani iskorištavanje ne zaobilazi izolaciju sandboxa, a za potpuni napad potrebno je otkriće druge ranjivosti kako bi se izbjegao sandbox (takva ranjivost je demonstrirana na natjecanju Pwn2Own 2021). Windows).
Primjer eksploatacije za ovaj problem objavljen je na GitHubu nakon popravka V8 motora, ali bez čekanja da se generira ažuriranje preglednika temeljeno na njemu (čak i ako eksploatacija nije bila objavljena, napadači su mogli ponovno stvoriti temelji se na analizi promjena u repozitoriju V8, što se već dogodilo ranije zbog situacije u kojoj je popravak u V8 već objavljen, ali proizvodi temeljeni na njemu još nisu ažurirani).
Osim toga, vrijedi napomenuti promjenu rasporeda izdanja za Chrome 90 za Linux, Windows и macOSOvo izdanje bilo je zakazano za 13. travnja, ali nije objavljeno jučer, a objavljena je samo verzija za AndroidDodatna beta verzija Chromea 90 objavljena je danas. Novi datum izlaska nije objavljen.
Izvor: opennet.ru
