Google ha creato un aggiornamento per Chrome 89.0.4389.128, che risolve due vulnerabilità (CVE-2021-21206, CVE-2021-21220), per le quali sono disponibili exploit funzionanti (0-day). La vulnerabilità CVE-2021-21220 è stata utilizzata per hackerare Chrome durante il concorso Pwn2Own 2021.
Lo sfruttamento di questa vulnerabilità viene effettuato attraverso l'esecuzione di un certo modo di codice WebAssembly formattato (la vulnerabilità è causata da un errore nella macchina virtuale WebAssembly, che consente di scrivere o leggere dati su un indirizzo arbitrario in memoria). Va notato che l'exploit dimostrato non consente di aggirare l'isolamento della sandbox e un attacco completo richiede la scoperta di un'altra vulnerabilità per uscire dalla sandbox (tale vulnerabilità è stata dimostrata per Windows al concorso Pwn2Own 2021).
Un esempio di exploit per questo problema è stato pubblicato su GitHub dopo aver apportato una correzione al motore V8, ma senza attendere la generazione di un aggiornamento del browser basato su di esso (anche se l'exploit non era stato pubblicato, gli aggressori sono riusciti a ricreare (basato sull'analisi delle modifiche nel repository V8, cosa già avvenuta in precedenza a causa di una situazione in cui una correzione nella V8 era già stata pubblicata, ma i prodotti basati su di essa non erano ancora stati aggiornati).
Inoltre, puoi notare lo spostamento nel programma di pubblicazione per il rilascio di Chrome 90 per Linux, Windows e macOS. Questo rilascio era previsto per il 13 aprile, ma ieri non è stato pubblicato ed è stata rilasciata solo la versione per Android. Oggi è stata rilasciata un'ulteriore versione beta di Chrome 90. Non è stata annunciata una nuova data di rilascio.
Fonte: opennet.ru