Google heeft een update voor Chrome 89.0.4389.128 uitgebracht, waar twee kwetsbaarheden (CVE-2021-21206, CVE-2021-21220) zijn verholpen, waarvoor werkende exploits (0-day) beschikbaar zijn. De kwetsbaarheid CVE-2021-21220 werd gebruikt om Chrome te hacken tijdens de Pwn2Own 2021-wedstrijd.
De exploitatie van de genoemde kwetsbaarheid gebeurt via de uitvoering van specifiek opgemaakte WebAssembly-code (de kwetsbaarheid wordt veroorzaakt door een fout in de WebAssembly-virtual machine, die het mogelijk maakt om gegevens op een willekeurig adres in het geheugen te lezen of te schrijven). Het wordt opgemerkt dat de getoonde exploit geen bypass van de sandbox-isolatie mogelijk maakt en voor een volledige aanval nog een andere kwetsbaarheid nodig is om de sandbox te verlaten (een dergelijke kwetsbaarheid werd gedemonstreerd voor Windows tijdens de Pwn2Own 2021-wedstrijd).
Een voorbeeld van een exploit voor dit probleem werd op GitHub gepubliceerd na de correctie in de V8-engine, maar zonder te wachten op een browserupdate op basis daarvan (zelfs als de exploit niet was gepubliceerd, kregen aanvallers de mogelijkheid om deze te recreëren op basis van de wijzigingsanalyse in de V8-repository, wat eerder is gebeurd vanwege de situatie waarin de correctie in V8 al is gepubliceerd, maar de producten op basis daarvan nog niet zijn geüpdatet).
Daarnaast kan worden opgemerkt dat de publicatiedatum van de Chrome 90-release voor Linux, Windows en macOS is verschoven. Deze release was gepland voor 13 april, maar werd gisteren niet gepubliceerd; alleen de versie voor Android is uitgebracht. Vandaag is er een extra bètarelease van Chrome 90 gevormd. Er is geen nieuwe releasedatum bekendgemaakt.
Bron: opennet.ru
