Google ka krijuar një përditësim për Chrome 89.0.4389.128, i cili rregullon dy dobësi (CVE-2021-21206, CVE-2021-21220), për të cilat ofrohen shfrytëzime pune (0-ditore). Dobësia CVE-2021-21220 u përdor për të hakuar Chrome në konkursin Pwn2Own 2021.
Shfrytëzimi i kësaj dobësie kryhet përmes ekzekutimit të një mënyre të caktuar të kodit të formatuar WebAssembly (vulnerabiliteti është shkaktuar nga një gabim në makinën virtuale WebAssembly, e cila ju lejon të shkruani ose lexoni të dhëna në një adresë arbitrare në memorie). Vihet re se shfrytëzimi i demonstruar nuk lejon që njeriu të anashkalojë izolimin e sandbox dhe një sulm i plotë kërkon zbulimin e një dobësie tjetër për të dalë nga sandbox (një dobësi e tillë u demonstrua për Windows në konkursin Pwn2Own 2021).
Një shembull i një shfrytëzimi për këtë problem u publikua në GitHub pasi u bë një rregullim në motorin V8, por pa pritur që të gjenerohej një përditësim i shfletuesit bazuar në të (edhe nëse shfrytëzimi nuk ishte publikuar, sulmuesit ishin në gjendje të rikrijonin bazuar në analizën e ndryshimeve në depo V8, e cila tashmë ka ndodhur më herët për shkak të një situate ku një rregullim në V8 tashmë është publikuar, por produktet e bazuara në të nuk janë përditësuar ende).
Për më tepër, mund të vini re ndryshimin në orarin e publikimit për lëshimin e Chrome 90 për Linux, Windows dhe macOS. Ky lëshim ishte planifikuar për 13 Prill, por nuk u publikua dje, dhe u lëshua vetëm versioni për Android. Një version shtesë beta i Chrome 90 u formua sot. Një datë e re e lëshimit nuk është shpallur.
Burimi: opennet.ru