Chrome 89.0.4389.128 अपडेट 0-दिनको जोखिम समाधानको साथ। Chrome 90 ढिलो भएको छ

गुगलले Chrome 89.0.4389.128 मा अपडेट सिर्जना गरेको छ, जसले दुईवटा कमजोरीहरू (CVE-2021-21206, CVE-2021-21220) फिक्स गर्दछ, जसको लागि काम गर्ने शोषणहरू उपलब्ध छन् (0-दिन)। CVE-2021-21220 कमजोरी Pwn2Own 2021 प्रतियोगितामा Chrome ह्याक गर्न प्रयोग गरिएको थियो।

यस भेद्यताको शोषण ढाँचा गरिएको WebAssembly कोडको एक निश्चित तरिकाको कार्यान्वयन मार्फत गरिन्छ (वेबसेम्बली भर्चुअल मेसिनमा त्रुटिको कारणले गर्दा हुन्छ, जसले तपाईंलाई मेमोरीमा मनपर्ने ठेगानामा डाटा लेख्न वा पढ्न अनुमति दिन्छ)। यो नोट गरिएको छ कि प्रदर्शन गरिएको शोषणले स्यान्डबक्स अलगावलाई बाइपास गर्न अनुमति दिँदैन र पूर्ण आक्रमणले स्यान्डबक्सबाट बाहिर निस्कन अर्को जोखिमको खोजी आवश्यक पर्दछ (यस्तो जोखिम विन्डोजको लागि Pwn2Own 2021 प्रतियोगितामा प्रदर्शन गरिएको थियो)।

V8 इन्जिनमा फिक्स गरिसकेपछि यस समस्याको लागि शोषणको एउटा उदाहरण GitHub मा प्रकाशित गरिएको थियो, तर यसको आधारमा ब्राउजर अद्यावधिकको लागि पर्खाइ बिना (यदि शोषण प्रकाशित गरिएको थिएन भने, आक्रमणकारीहरूले पुन: सिर्जना गर्न सक्षम थिए। यो V8 रिपोजिटरीमा परिवर्तनहरूको विश्लेषणमा आधारित छ, जुन पहिले नै V8 मा फिक्स प्रकाशित भइसकेको अवस्थाको कारण पहिले नै भएको थियो, तर यसमा आधारित उत्पादनहरू अझै अद्यावधिक गरिएका छैनन्)।

थप रूपमा, तपाईंले Linux, Windows र macOS को लागि Chrome 90 को रिलीजको लागि प्रकाशन तालिकामा परिवर्तनलाई नोट गर्न सक्नुहुन्छ। यो रिलीज अप्रिल 13 को लागि निर्धारित गरिएको थियो, तर हिजो प्रकाशित गरिएको थिएन, र एन्ड्रोइडको लागि मात्र संस्करण जारी गरिएको थियो। Chrome 90 को एक अतिरिक्त बिटा रिलीज आज गठन गरिएको थियो। नयाँ रिलीज मिति घोषणा गरिएको छैन।

स्रोत: opennet.ru