Google je objavio bezbjednosno ažuriranje za Chrome, zakrpivši zero-day ranjivost za koju kompanija potvrđuje da se trenutno aktivno zloupotrebljava u stvarnom okruženju.
Tokom ove godine internet gigant je ispravio više zero-day ranjivosti u Chrome-u, ali je u svim tim slučajevima bar ukratko opisao prirodu greške prilikom objave zakrpe.
Ovoga puta situacija je drugačija. Najnoviji Chrome zero-day još nema CVE identifikator, niti je poznato koji tačno komponent pregledača pogađa. Google ga za sada vodi pod ID oznakom iz bug trackera (466192044) i navodi da je ranjivost „u koordinaciji“.
Takođe nije poznato ko je prijavio propust niti kada je prijavljen. Jedina dostupna informacija je da ranjivost nosi oznaku „visoke težine“.
Na osnovu prethodnih trendova kod Chrome zero-day eksploatacija, vjerovatno se radi o problemu vezanom za korupciju memorije – potencijalno type confusion ili use-after-free – unutar V8 JavaScript engine-a ili srodnog komponenta.
Ovakve ranjivosti se često mogu iskoristiti za sandbox escape ili izvršavanje koda na daljinu.
Chrome zero-day propusti često bivaju meta špijunskih kampanja koje sponzorišu države, pri čemu se koriste napredni komercijalni spyware alati. To sugeriše da je i ovaj misteriozni zero-day možda korišćen u ciljanoj, a ne masovnoj kampanji.
Ranjivost je zakrpljena u Chrome 143 ažuriranju, koje takođe ispravlja dvije ranjivosti srednje težine: use-after-free u menadžeru lozinki i grešku nepravilne implementacije u toolbar komponentu.
Za svaku od ovih ranjivosti istraživačima je isplaćena bug bounty nagrada od 2.000 dolara.
Izvor: SecurityWeek
