Chrome 89.0.4389.128 अपडेट 0-दिवस असुरक्षा निराकरणासह. Chrome 90 विलंबित आहे

Google ने Chrome 89.0.4389.128 वर अपडेट तयार केले आहे, जे दोन भेद्यता (CVE-2021-21206, CVE-2021-21220) निश्चित करते, ज्यासाठी कार्यरत शोषण उपलब्ध आहेत (0-दिवस). CVE-2021-21220 असुरक्षा Pwn2Own 2021 स्पर्धेत Chrome हॅक करण्यासाठी वापरली गेली.

या भेद्यतेचे शोषण एका विशिष्ट मार्गाने स्वरूपित वेबअसेंबली कोडच्या अंमलबजावणीद्वारे केले जाते (वेबअसेंबली व्हर्च्युअल मशीनमधील त्रुटीमुळे भेद्यता उद्भवते, जी तुम्हाला मेमरीमधील अनियंत्रित पत्त्यावर डेटा लिहिण्यास किंवा वाचण्याची परवानगी देते). हे नोंदवले गेले आहे की प्रात्यक्षिक शोषण एखाद्याला सँडबॉक्स अलगाव सोडण्याची परवानगी देत ​​​​नाही आणि संपूर्ण हल्ल्यासाठी सँडबॉक्समधून बाहेर पडण्यासाठी दुसर्‍या भेद्यतेचा शोध आवश्यक आहे (अशी असुरक्षा Windows साठी Pwn2Own 2021 स्पर्धेत प्रदर्शित केली गेली होती).

V8 इंजिनचे निराकरण केल्यानंतर या समस्येच्या शोषणाचे एक उदाहरण GitHub वर प्रकाशित केले गेले होते, परंतु त्यावर आधारित ब्राउझर अपडेट व्युत्पन्न होण्याची वाट न पाहता (जरी शोषण प्रकाशित केले गेले नसते, तरीही आक्रमणकर्ते पुन्हा तयार करण्यात सक्षम होते. हे V8 रिपॉजिटरीमधील बदलांच्या विश्लेषणावर आधारित आहे, जे V8 मध्ये निराकरण आधीच प्रकाशित केले गेले आहे, परंतु त्यावर आधारित उत्पादने अद्याप अद्यतनित केलेली नाहीत).

याव्यतिरिक्त, तुम्ही Linux, Windows आणि macOS साठी Chrome 90 च्या प्रकाशनासाठी प्रकाशन वेळापत्रकात बदल लक्षात घेऊ शकता. हे प्रकाशन 13 एप्रिल रोजी नियोजित होते, परंतु काल प्रकाशित झाले नाही आणि केवळ Android साठी आवृत्ती प्रकाशित केली गेली. आज Chrome 90 चे अतिरिक्त बीटा रिलीझ तयार करण्यात आले. नवीन प्रकाशन तारीख जाहीर केलेली नाही.

स्त्रोत: opennet.ru