Google opravil zero-day zraniteľnosť vo webovom prehliadači Chrome pre stolné počítače, o ktorej hovorí, že je aktívne využívaná vo voľnej prírode.
Spoločnosť vydala 88.00,4324,150 za Windows, Mac a Linux, s opravou chyby pretečenia vyrovnávacej pamäte haldy (CVE-2021-21148) vo vykresľovacom jadre JavaScript V8.
„Google vie o správach, že vo voľnej prírode existuje zneužitie CVE-2021-21148,“ uviedla spoločnosť vo vyhlásení.
Bezpečnostnú chybu nahlásil spoločnosti Google Mattias Buelens 24. januára.
Predtým vo februári 2Google riešil šesť problémov v prehliadači Chrome vrátane jedného kritického použitia po bezplatnej zraniteľnosti v službe Payments (CVE-2021-21142) a štyroch závažných chýb v rozšíreniach, skupinách kariet, písmach a funkciách navigácie.
Aj keď je pre Google typické, že obmedzuje podrobnosti o zraniteľnosti, kým väčšina používateľov nebude aktualizovaná opravou, vývoj prichádza niekoľko týždňov po tom, čo Google a Microsoft odhalili útoky severokórejských hackerov proti bezpečnostným výskumníkom s prepracovanou kampaňou sociálneho inžinierstva s cieľom nainštalovať Windows zadné dvere.
Niektorí výskumníci sa nakazili jednoducho návštevou falošného výskumného blogu o plne opravených systémoch Windows 10 a prehliadač Chrome, Microsoft, v správe zverejnenej 28. januára naznačil, že útočníci pravdepodobne využili Chrome zero-day na kompromitáciu systémov.
Aj keď nie je bezprostredne jasné, či sa pri týchto útokoch použil CVE-2021-21148, načasovanie odhalení a skutočnosť, že odporúčanie spoločnosti Google vyšlo presne jeden deň po tom, čo Buelens nahlásil problém, naznačuje, že by mohli súvisieť.
V samostatnom technickom zázname juhokórejská firma ENKI pre kybernetickú bezpečnosť uviedla, že hackerská skupina podporovaná severokórejským štátom známa ako Lazarus sa neúspešne pokúsila zacieliť na svojich bezpečnostných výskumníkov škodlivými súbormi MHTML, ktoré po otvorení stiahli zo vzdialeného servera dva užitočné údaje. , z ktorých jedna obsahovala zero-day proti Internet Exploreru.
„Sekundárna užitočná časť obsahuje útočný kód, ktorý útočí na zraniteľnosť prehliadača Internet Explorer,“ uviedli výskumníci ENKI.
Stojí za zmienku, že Google minulý rok opravil päť nultých dní prehliadača Chrome, ktoré boli aktívne využívané vo voľnej prírode v rozmedzí jedného mesiaca od 20. októbra do 12. novembra.
