گوگل اولین آسیب‌پذیری روز صفر سال کروم را که به طور فعال مورد بهره‌برداری قرار گرفته بود را برطرف کرد.
این نقص به‌عنوان CVE-2024-0519 ردیابی می‌شود و به مهاجمان اجازه می‌دهد به داده‌های حساس دسترسی پیدا کنند یا حملات انکار سرویس را انجام دهند. گفته شد که این نقص همچنین می تواند با آسیب پذیری های دیگر برای دستیابی به اجرای کد از راه دور (RCE) زنجیره شود.
این غول مرورگر در توصیه‌ای که اوایل این هفته منتشر شد، گفت: «گوگل از گزارش‌هایی مبنی بر وجود یک سوءاستفاده برای CVE-2024-0519 در طبیعت آگاه است».
بدون جزئیات - هنوز
آخرین نسخه مرورگر 120.0.6099.224/225 برای ویندوز، 120.0.6099.234 برای مک و 120.0.6099.224 برای لینوکس است. اگرچه گوگل معمولاً او میگوید که انتشار این وصله به کانال Stable Desktop تدریجی خواهد بود، اما زمانی که ما سعی کردیم مرورگر را همین الان به‌روزرسانی کنیم، در دسترس بود.
با این حال، به‌روزرسانی خودکار نبود و از ما می‌خواست که منوی تنظیمات را باز کرده و به‌روزرسانی‌ها را اسکن کنیم.
CVE-2024-0519 به عنوان یک ضعف با شدت بالا در دسترسی به حافظه خارج از محدوده در موتور جاوا اسکریپت کروم V8 توصیف شده است.
MITER او میگوید : «سنتینل مورد انتظار ممکن است در حافظه خارج از محدوده قرار نگیرد، که باعث خواندن داده‌های بیش از حد می‌شود که منجر به خطای بخش‌بندی یا سرریز بافر می‌شود». "محصول ممکن است یک شاخص را تغییر دهد یا محاسبات نشانگر را انجام دهد که به یک مکان حافظه اشاره می کند که خارج از مرزهای بافر است. یک عملیات خواندن بعدی سپس نتایج نامشخص یا غیرمنتظره ای ایجاد می کند." علاوه بر این، می‌توان از این آسیب‌پذیری برای کار در اطراف ASLR و مکانیسم‌های حفاظتی مشابه بای پس استفاده کرد و با سایر نقص‌های RCE زنجیره‌ای کرد.
با توجه به شدت آسیب‌پذیری، گوگل تصمیم گرفت تا زمانی که اکثر مرورگرها به‌روزرسانی نشده‌اند، جزئیات اضافی را به اشتراک نگذارد.
گوگل او میگوید : «دسترسی به جزئیات و لینک‌های باگ ممکن است محدود شود تا زمانی که اکثر کاربران با یک اصلاح به‌روزرسانی شوند». همچنین اگر این اشکال در یک کتابخانه شخص ثالث وجود داشته باشد که پروژه‌های دیگر به طور مشابه به آن وابسته هستند، اما هنوز رفع نشده است، محدودیت‌ها را حفظ خواهیم کرد.
از طریق Bleeping Computer
ارسال نظر