Cảnh báo Zero-Day: Google Chrome đang bị tấn công tích cực, khai thác lỗ hổng mới

Lỗ hổng được theo dõi là CVE-2023-6345 , lỗ hổng có mức độ nghiêm trọng cao được mô tả là lỗi tràn số nguyên trong Skia, một thư viện đồ họa 2D nguồn mở.

Benoît Sevens và Clément Lecigne thuộc Nhóm phân tích mối đe dọa (TAG) của Google đã được ghi nhận là người đã phát hiện và báo cáo lỗ hổng vào ngày 24 tháng 11 năm 2023.

Như thường lệ, gã khổng lồ tìm kiếm thừa nhận rằng “một cách khai thác CVE-2023-6345 đã tồn tại ngoài thực tế”, nhưng đã dừng việc chia sẻ thông tin bổ sung xung quanh bản chất của các cuộc tấn công và các tác nhân đe dọa có thể vũ khí hóa nó trong thực tế- thế giới tấn công.

Điều đáng chú ý là Google đã phát hành các bản vá cho lỗ hổng tràn số nguyên tương tự trong cùng một thành phần ( CVE-2023-2136 ) vào tháng 4 năm 2023. Bản vá này cũng đang bị khai thác tích cực dưới dạng lỗ hổng zero-day, làm tăng khả năng CVE-2023-6345 có thể là một bản vá lỗi cho cái trước.

CVE-2023-2136 được cho là đã “cho phép kẻ tấn công từ xa đã xâm phạm quy trình kết xuất có khả năng thực hiện lối thoát hộp cát thông qua một trang HTML thủ công”.

Với bản cập nhật mới nhất, gã khổng lồ công nghệ đã giải quyết tổng cộng bảy lỗi 0 trong Chrome kể từ đầu năm -

• CVE-2023-2033 (điểm CVSS: 8,8) - Nhầm lẫn về kiểu chữ trong V8
• CVE-2023-2136 (điểm CVSS: 9,6) - Tràn số nguyên ở Skia
• CVE-2023-3079 (điểm CVSS: 8,8) - Lỗi gõ trong V8
• CVE-2023-4762 (điểm CVSS: 8,8) - Lỗi gõ trong V8
• CVE-2023-4863 (điểm CVSS: 8,8) - Tràn bộ đệm heap trong WebP
• CVE-2023-5217 (điểm CVSS: 8,8) - Tràn bộ đệm heap trong mã hóa vp8 trong libvpx

Người dùng nên nâng cấp lên phiên bản Chrome 119.0.6045.199/.200 cho Windows và 119.0.6045.199 cho macOS và Linux để giảm thiểu các mối đe dọa tiềm ẩn. Người dùng các trình duyệt dựa trên Chrome như Microsoft Edge, Brave, Opera và Vivaldi cũng nên áp dụng các bản sửa lỗi khi chúng có sẵn.

Theo: TheHackerNews