Google Chrome đang bị tấn công tích cực, khai thác lỗ hổng Zero-Day mới

Google đã tung ra các bản cập nhật bảo mật để khắc phục bảy vấn đề bảo mật trong trình duyệt Chrome của mình, bao gồm cả lỗi zero-day đang bị khai thác rộng rãi.

Được theo dõi là CVE-2023-6345, lỗ hổng có mức độ nghiêm trọng cao được mô tả là lỗi tràn số nguyên trong Skia, một thư viện đồ họa 2D nguồn mở.

Benoît Sevens và Clément Lecigne thuộc Nhóm phân tích mối đe dọa (TAG) của Google đã được ghi nhận là người đã phát hiện và báo cáo lỗ hổng vào ngày 24 tháng 11 năm 2023.

Như thường lệ, gã khổng lồ tìm kiếm thừa nhận rằng “một cách khai thác CVE-2023-6345 đã tồn tại ngoài thực tế”, nhưng đã dừng việc chia sẻ thông tin bổ sung xung quanh bản chất của các cuộc tấn công và các tác nhân đe dọa có thể vũ khí hóa nó trong thực tế- thế giới tấn công.

Điều đáng chú ý là Google đã phát hành các bản vá cho lỗ hổng tràn số nguyên tương tự trong cùng thành phần (CVE-2023-2136) vào tháng 4 năm 2023. Thành phần này cũng đang bị khai thác tích cực dưới dạng lỗ hổng zero-day, làm tăng khả năng CVE-2023-6345 có thể là một bản vá lỗi cho cái trước.

CVE-2023-2136 được cho là đã “cho phép kẻ tấn công từ xa đã xâm phạm quy trình kết xuất có khả năng thực hiện lối thoát hộp cát thông qua một trang HTML thủ công”.

Với bản cập nhật mới nhất, gã khổng lồ công nghệ đã giải quyết tổng cộng bảy lỗi Zero-Day trong Chrome kể từ đầu năm -

CVE-2023-2033 (điểm CVSS: 8,8) - Nhầm lẫn về kiểu chữ trong V8

CVE-2023-2136 (điểm CVSS: 9,6) - Tràn số nguyên ở Skia

CVE-2023-3079 (điểm CVSS: 8,8) - Lỗi gõ trong V8

CVE-2023-4762 (điểm CVSS: 8,8) - Lỗi gõ trong V8

CVE-2023-4863 (điểm CVSS: 8,8) - Tràn bộ đệm heap trong WebP

CVE-2023-5217 (điểm CVSS: 8,8) - Tràn bộ đệm heap trong mã hóa vp8 trong libvpx

Người dùng nên nâng cấp lên phiên bản Chrome 119.0.6045.199/.200 cho Windows và 119.0.6045.199 cho macOS và Linux để giảm thiểu các mối đe dọa tiềm ẩn. Người dùng các trình duyệt dựa trên Chrome như Microsoft Edge, Brave, Opera và Vivaldi cũng nên áp dụng các bản sửa lỗi khi chúng có sẵn.

Hương – Theo TheHackerNews