Google 已建立 Chrome 89.0.4389.128 的更新，修正了兩個漏洞（CVE-2021-21206、CVE-2021-21220），可利用這些漏洞（0 天）。 CVE-2021-21220 漏洞被用來在 Pwn2Own 2021 競賽中破解 Chrome。
該漏洞的利用是透過執行某種方式格式化的WebAssembly程式碼來實現的（該漏洞是由WebAssembly虛擬機中的錯誤引起的，該虛擬機器允許您向記憶體中的任意位址寫入或讀取資料） 。 值得注意的是，所展示的漏洞不允許繞過沙箱隔離，而全面的攻擊需要發現另一個漏洞才能退出沙箱（在 Pwn2Own 2021 競賽中針對 Windows 演示了此類漏洞）。
在對 V8 引擎進行修復後，在 GitHub 上發布了針對此問題的利用範例，但無需等待生成基於該問題的瀏覽器更新（即使該利用尚未發布，攻擊者也能夠重新創建它基於對V8 存儲庫中的更改的分析，由於V8 中的修復程序已經發布，但基於它的產品尚未更新，這種情況之前已經發生過）。
此外，您還可以注意到適用於 Linux、Windows 和 macOS 的 Chrome 90 發佈時間表的變更。 該版本原定於 13 月 90 日發布，但昨天並未發布，僅發布了 Android 版本。 Chrome XNUMX 的另一個測試版已於今日發布。新的發布日期尚未公佈。
來源： opennet.ru