Chrome 89.0.4389.128-uppdatering med 0-dagars sårbarhetskorrigering. Chrome 90 är försenad

Google har släppt Chrome-uppdatering 89.0.4389.128, som åtgärdar två sårbarheter (CVE-2021-21206 och CVE-2021-21220) för vilka fungerande zero-day-exploits finns tillgängliga. CVE-2021-21220 användes för att hacka Chrome under Pwn2Own 2021-tävlingen.

Sårbarheten utnyttjas genom att exekvera specialskriven WebAssembly-kod (sårbarheten orsakas av ett fel i den virtuella WebAssembly-maskinen som tillåter att data skrivs eller läses från en godtycklig minnesadress). Det noteras att den visade attacken inte kringgår sandboxisolering, och en fullfjädrad attack kräver upptäckten av en annan sårbarhet för att undkomma sandboxen (en sådan sårbarhet demonstrerades vid Pwn2Own 2021-tävlingen). Windows).

Ett exempel på ett utnyttjande för det här problemet publicerades på GitHub efter att en korrigering släpptes för V8-motorn, men innan webbläsaruppdateringar baserade på den släpptes (även om utnyttjandet inte hade publicerats skulle angripare ha kunnat återskapa det baserat på ändringar i V8-arkivet, vilket har hänt tidigare på grund av en situation där en korrigering för V8 redan har publicerats, men produkter baserade på den ännu inte har uppdaterats).

Dessutom är det värt att notera förändringen i lanseringsschemat för Chrome 90 för Linux, Windows и macOSDetta nummer var planerat till den 13 april, men publicerades inte igår, och endast versionen för AndroidEn ytterligare betaversion av Chrome 90 släpptes idag. Ett nytt releasedatum har inte tillkännagivits.

Källa: opennet.ru