Google har slÀppt en uppdatering av Chrome 89.0.4389.128, dÀr tvÄ sÄrbarheter (CVE-2021-21206, CVE-2021-21220) har ÄtgÀrdats, som har aktiva exploiter (0-dag). SÄrbarheten CVE-2021-21220 anvÀndes för att hacka Chrome under tÀvlingen Pwn2Own 2021.
Exploitering av den angivna sÄrbarheten görs genom att köra kod som Àr specifikt utformad med WebAssembly (sÄrbarheten orsakas av ett fel i WebAssemblys virtuella maskin, vilket tillÄter skrivning eller lÀsning av data pÄ en godtycklig minnesadress). Det noteras dock att den visade exploit inte kan kringgÄ sandbox-isoleringen och för en fullstÀndig attack krÀvs upptÀckten av ytterligare en sÄrbarhet för att ta sig ut ur sandboxen (en sÄdan sÄrbarhet demonstrerades vid Pwn2Own 2021 för Windows).
Ett exempel pÄ en exploit för detta problem publicerades pÄ GitHub efter att en patch hade tillÀmpats pÄ V8-motorn, men innan en uppdatering av webblÀsarna baserat pÄ den kunde slÀppas (Àven om exploiten inte hade publicerats, hade angripare möjlighet att Äterskapa den baserat pÄ analyser av förÀndringarna i V8-repositoriet, vilket redan har intrÀffat tidigare nÀr en patch i V8 publicerades men produkterna baserade pÄ den fortfarande inte hade uppdaterats).
Det kan Àven nÀmnas en förÀndring av publiceringsschemat för Chrome 90 för Linux, Windows och macOS. Denna version var planerad till den 13 april, men publicerades inte igÄr; istÀllet slÀpptes bara en version för Android. Idag har en ytterligare beta-version av Chrome 90 skapats. Ingen ny releasedatum har meddelats.
KĂ€lla: opennet.ru
