A Google lançou a atualização do Chrome 89.0.4389.128, que corrige duas vulnerabilidades (CVE-2021-21206, CVE-2021-21220), para as quais existem exploits em funcionamento (0-day). A vulnerabilidade CVE-2021-21220 foi usada para comprometer o Chrome na competição Pwn2Own 2021.
A exploração da vulnerabilidade mencionada é realizada por meio da execução de um código WebAssembly formatado de maneira específica (a vulnerabilidade é causada por um erro na máquina virtual WebAssembly, que permite a leitura ou gravação de dados em endereços de memória arbitrários). Observa-se que o exploit demonstrado não consegue contornar a isolamento sandbox e, para um ataque completo, é necessária a descoberta de outra vulnerabilidade para sair do sandbox (na competição Pwn2Own 2021, tal vulnerabilidade foi demonstrada para o Windows).
Um exemplo de exploit para esse problema foi publicado no GitHub após a correção do motor V8, mas sem aguardar a formação da atualização dos navegadores com base nisso (mesmo que o exploit não tivesse sido publicado, os criminosos teriam a capacidade de reproduzi-lo com base na análise das mudanças no repositório V8, o que já ocorreu anteriormente devido ao surgimento de situações em que a correção no V8 já foi publicada, mas os produtos baseados nela ainda não foram atualizados).
Além disso, vale destacar a mudança na programação de lançamento do Chrome 90 para Linux, Windows e macOS. Este lançamento estava previsto para 13 de abril, mas ontem não foi publicado, e apenas a versão para Android foi lançada. Hoje, foi criado um lançamento beta adicional do Chrome 90. Não há informações sobre uma nova data de lançamento.
Fonte: opennet.ru
