Спешно обновете Chrome: нова 0day уязвимост разкрива конфиденциалните данни

Google пусна актуализации, с които се отстраняват четири проблема със сигурността в браузъра Chrome, включително активно използвана уязвимост от типа „нулев ден“.

Уязвимостта CVE-2024-0519 е свързана с достъп до паметта извън границите (Out-of-bounds memory access) в механизма на JavaScript V8 и WebAssembly, от който нападателят може да се възползва, за да предизвика срив на системата.

Достъпът до паметта извън границите позволява на нападателя да получи чувствителни данни, като например важни адреси на паметта, което заобикаля механизма за защита на ASLR (Address Space Layout Randomisation) и увеличава вероятността други уязвимости да бъдат използвани за изпълнение на код, а не само за отказ на услуга (DoS), както обяснява технологичния център MITRE.

В описанието на уязвимостта на NIST се посочва, че достъпът до паметта извън JavaScript V8 в Google Chrome преди версия 120.0.6099.224 позволява на отдалечен нападател да използва Heap Corruption с предварително подготвена специална HTML страница.

Допълнителна информация за естеството на атаките и участниците в заплахите, които биха могли да ги използват, не се разкрива с цел да се предотврати по-нататъшното им използване. Проблемът е съобщен анонимно на 11-ти януари 2024 г. На потребителите се препоръчва да актуализират Chrome до 120.0.6099.224/225 за Windows, до 120.0.6099.234 за macOS и до 120.0.6099.224 за Linux, за да елиминират потенциалните заплахи.

На потребителите на браузъри, базирани на Chromium – Microsoft Edge, Brave, Opera и Vivaldi – също се препоръчва да инсталират всички пачове, веднага след като станат налични.