В то время как люди праздновали праздник Четвертого июля в Соединенных Штатах, Google незаметно выпустил стабильное обновление канала для Chrome, чтобы исправить активно эксплуатируемую уязвимость нулевого дня. в этом году.

Chrome 103 (103.0.5060.71) для Android и версия 103.0.5060.114 для Windows и Mac, описанные в отдельный Сообщения в блоге опубликовано в понедельник, исправить ошибку переполнения буфера кучи в WebRTC, движке, который дает браузеру возможность связи в реальном времени.

Уязвимость, отслеживаемая как CVE-2022-2294 и сообщил Ян Войтесек из команды Avast Threat Intelligence от 1 июля., описывается как переполнение буфера, «где буфер, который может быть перезаписан, выделен в куче памяти», согласно описанию уязвимости. листинг на веб-сайте Common Weakness Enumeration (CWE).

Как обычно, Google не раскрывает конкретных подробностей об ошибке, поскольку обычно ждет, пока большинство не обновится до исправленной версии уязвимого продукта. Действительно, обновление настоятельно рекомендуется, поскольку эксплойты для этой уязвимости уже существуют в дикой природе, заявили в Google.

Более того, из-за скудных подробностей об уязвимости — привычка Google, которую многие исследователи безопасности находят разочаровывающей — на данный момент обновление действительно является единственным способом защиты от атак, использующих уязвимость. К счастью, обновления Google Chrome выпускаются без вмешательства пользователя, поэтому большинство пользователей будут защищены после выпуска исправлений.

Переполнение буфера обычно приводит к сбоям или другим атакам, которые делают уязвимую программу недоступной, включая перевод программы в бесконечный цикл, согласно листингу CWE. Злоумышленники могут воспользоваться ситуацией, используя сбой для выполнения произвольного кода, который обычно выходит за рамки политики безопасности программы.

«Помимо важных пользовательских данных, переполнение кучи может использоваться для перезаписи указателей функций, которые могут находиться в памяти, указывая на код злоумышленника», — говорится в листинге. «Даже в приложениях, которые явно не используют указатели на функции, среда выполнения обычно оставляет многие из них в памяти».

Другие исправления

В дополнение к исправлению ошибки переполнения буфера нулевого дня, выпуски Chrome также исправляют ошибку путаницы типов в движке JavaScript V8, отслеживаемую как CVE-2022-2295 и сообщили 16 июня исследователи «avaue» и «buff3tts» в SSL, согласно сообщению.

Это уже третья подобная уязвимость в движке с открытым исходным кодом, используемом веб-браузерами Chrome и Chromium, исправленная только в этом году. В марте отдельная проблема с путаницей типов в движке JavaScript V8 отслеживалась как CVE-2022-1096 и при активной атаке подстегнул поспешный патч  от Google.

Затем в апреле компания исправила CVE-2022-1364, еще одна ошибка путаницы типов, влияющая на использование Chrome V8, на которую уже набросились злоумышленники.

Еще одна ошибка, исправленная в обновлении Chrome в понедельник, — это ошибка использования после освобождения в Chrome OS Shell, о которой Халил Жани сообщил 19 мая и которая отслеживается как CVE-2022-2296, по данным Google. Все недостатки, исправленные в обновлении этой недели, получили высокую оценку. По словам Google, обновления также включают в себя несколько исправлений внутренних аудитов, фаззинга и других инициатив.

Прежде чем исправить недостатки движка JavaScript Chrome V8 в марте и апреле, Google в феврале уже исправила ошибку нулевого дня использования после бесплатного использования в компоненте Chrome Animation, отслеживаемую как CVE-2022-0609 который находился под активной атакой.