更新您的Chrome浏览器以修补2种新的0day漏洞

谷歌周二发布了适用于Windows,Mac和Linux的Chrome网络浏览软件的新版本,其中包含针对两个新发现的安全漏洞的补丁,并称这两个漏洞均在野外存在,允许攻击者进行主动利用

这两个缺陷之一涉及其V8 JavaScript渲染引擎(CVE-2021-21220)中的不可信输入验证不足,上周在Pwn2Own 2021黑客大赛上,Dataflow Security的Bruno Keith和Niklas Baumstark证明了这一点。

虽然Google迅速修复了该漏洞,但安全研究人员Rajvardhan Agarwal在周末发布了一个有效的漏洞利用程序,对Chromium团队推送到开源组件的补丁进行了逆向工程,这可能是该发行版中发挥了关键作用的一个因素。

更新: Agarwal在致黑客新闻的电子邮件中确认,还有一个漏洞正在影响基于Chromium的浏览器,该漏洞已在最新版本的V8中进行了修补,但尚未包括在今天推出的Chrome版本中,从而使用户即使在安装新更新之后,也可能容易受到攻击。

Agarwal通过电子邮件告诉《黑客新闻》说:“尽管这两种缺陷本质上是不同的,但可以利用它们在渲染器过程中获得RCE。” “我怀疑第一个补丁是由于已发布的漏洞利用程序而与Chrome更新一起发布的,但是由于第二个补丁并未应用于Chrome,因此仍然可以被利用。”

此外,通过该公司解决的是一个释放后使用无漏洞,它闪烁的浏览器引擎(CVE-2021-21206)。一位匿名研究员因在4月7日报告了此漏洞而受到赞誉。

Chrome技术计划经理Prudhvikumar Bommana在博客文章中指出: “ Google知道有报道称CVE-2021-21206和CVE-2021-21220的漏洞是在野外存在的。”

值得注意的是,利用漏洞的存在并不能证明威胁行为者正在积极利用漏洞。自今年年初以来,Google修复了Chrome受到攻击的三个缺陷,包括CVE-2021-21148CVE-2021-21166CVE-2021-21193

Chrome 89.0.4389.128预计将在未来几天内推出。用户可以通过转到设置>帮助>关于Google Chrome浏览器来更新到最新版本,以减轻与漏洞相关的风险。

from