A Google kiadta a Chrome 89.0.4389.128 frissítését, amelyben két sebezhetőséget (CVE-2021-21206, CVE-2021-21220) javítottak, amelyekhez már elérhetőek működő exploitok (0-day). A CVE-2021-21220 sebezhetőséget a Chrome feltörésére használták a Pwn2Own 2021 versenyen.
A megadott sebezhetőség kihasználása egy különösen formázott WebAssembly kód végrehajtásán keresztül történik (a sebezhetőséget a WebAssembly virtuális gépében található hiba okozza, amely lehetővé teszi, hogy adatokat írjunk vagy olvassunk tetszőleges memóriacímről). Meg kell jegyezni, hogy a bemutatott exploit nem képes kikerülni a sandbox-elszigetelést, és a teljes körű támadáshoz szükség van egy másik sebezhetőség felfedezésére a sandbox elhagyásához (a Pwn2Own 2021 versenyen egy ilyen sebezhetőséget bemutattak Windows alatt).
A probléma példájaként használt exploit a GitHubon került közzétételre a V8 motor javítása után, de még a böngészők frissítésének létrejötte előtt (még ha az exploit nem is lett volna nyilvános, a rosszindulatú szereplők képesek voltak volna újraalkotni azt a V8 repozitóriumban történt változások elemzésével, ami korábban már megtörtént, amikor a V8 javítását közzétették, de a rá épülő termékek még nem frissültek).
Továbbá érdemes megjegyezni a Chrome 90 kiadásának ütemezésének eltolódását Linux, Windows és macOS rendszerekre. Ezt a kiadást április 13-ra tervezték, de tegnap nem jelent meg, csupán az Android verziója. Ma egy további Chrome 90 bétakiadás készült el. Az új kiadási dátumról nincs információ.
Forrás: opennet.ru
