{"id":99784,"date":"2021-04-14T22:22:39","date_gmt":"2021-04-14T20:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-chrome-89-0-4389-128-s-ustraneniem-0-day-uyazvimosti-chrome-90-zaderzhivaetsya"},"modified":"2021-04-14T22:22:39","modified_gmt":"2021-04-14T20:22:39","slug":"obnovlenie-chrome-89-0-4389-128-s-ustraneniem-0-day-uyazvimosti-chrome-90-zaderzhivaetsya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/obnovlenie-chrome-89-0-4389-128-s-ustraneniem-0-day-uyazvimosti-chrome-90-zaderzhivaetsya","title":{"rendered":"Aggiornamento di Chrome 89.0.4389.128 per la risoluzione di una vulnerabilit\u00e0 0-day. Chrome 90 ritardato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google ha rilasciato l'aggiornamento di Chrome 89.0.4389.128, che corregge due vulnerabilit\u00e0 (CVE-2021-21206, CVE-2021-21220), per le quali sono disponibili exploit funzionanti (0-day). La vulnerabilit\u00e0 CVE-2021-21220 \u00e8 stata utilizzata per compromettere Chrome durante la competizione Pwn2Own 2021. <\/p>\n
L'exploitation della vulnerabilit\u00e0 menzionata avviene attraverso l'esecuzione di codice WebAssembly formattato in un certo modo (la vulnerabilit\u00e0 \u00e8 causata da un errore nella macchina virtuale WebAssembly, che permette di scrivere o leggere dati a un indirizzo arbitrario in memoria). Si nota inoltre che l'exploit mostrato non consente di bypassare l'isolamento sandbox e che per un attacco completo \u00e8 necessaria la scoperta di un'altra vulnerabilit\u00e0 per uscire dalla sandbox (durante la competizione Pwn2Own 2021 \u00e8 stata dimostrata tale vulnerabilit\u00e0 per Windows). <\/p>\n
Un esempio di exploit per questo problema \u00e8 stato pubblicato su GitHub dopo che \u00e8 stata apportata una correzione al motore V8, ma senza attendere la formazione di aggiornamenti del browser basati su esso (anche se l'exploit non fosse stato pubblicato, i malintenzionati avrebbero potuto ricrearlo analizzando le modifiche nel repository V8, situazione gi\u00e0 accaduta in precedenza quando la correzione nel V8 era gi\u00e0 stata pubblicata, ma i prodotti basati su di essa non erano ancora stati aggiornati). <\/p>\n
\u00c8 inoltre importante notare il posticipo del programma di rilascio di Chrome 90 per Linux, Windows e macOS. Questa versione era prevista per il 13 aprile, ma ieri non \u00e8 stata pubblicata, e \u00e8 stata rilasciata solo la versione per Android. Oggi \u00e8 stata formata una beta extra di Chrome 90. Non sono state comunicate nuove date di rilascio. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"