Η Google κυκλοφόρησε το Chrome 95.0.4638.69 για Windows, Mac και Linux για να διορθώσει δύο τρωτά σημεία zero-day που χρησιμοποιούνται ήδη από εισβολείς.
“Η Google γνωρίζει ότι τα expoits για τα CVE-2021-38000 και CVE-2021-38003 κυκλοφορούν ήδη”, αποκάλυψε η Google στη λίστα επιδιορθώσεων ασφαλείας στη σημερινή έκδοση του Google Chrome.
Γνωρίζουμε όμως ότι νέα έκδοση μπορεί να χρειαστεί λίγο χρόνο για να φτάσει σε όλους. Έτσι μια καλή ιδέα είναι να ενημερώσετε με μη αυτόματο τρόπο από το κανάλι Stable Desktop.
Για να εγκαταστήσετε αμέσως την ενημέρωση του Chrome, θα πρέπει να πάτε στο μενού Chrome > Βοήθεια > Σχετικά με το Google Chrome και το πρόγραμμα περιήγησης θα αρχίσει να ενημερώνεται.
Τα zero-day φυσικά δεν αποκαλύφθηκαν
Αυτή η έκδοση του Chrome διορθώνει συνολικά επτά ευπάθειες, εκ των οποίων οι δύο είναι 0day που χρησιμοποιούνται ήδη από κακόβουλους χρήστες.
Το πρώτο 0day (CVE-2021-38000), περιγράφεται σαν “Ανεπαρκής επικύρωση μη αξιόπιστης εισαγωγής σε Intent” και έχει χαρακτηριστεί υψηλής σοβαρότητας. Αυτή η ευπάθεια ανακαλύφθηκε από τους Clement Lecigne, Neel Mehta και Maddie Stone της Google Threat Analysis Group στις 15 Σεπτεμβρίου του 2021.
Το δεύτερο 0day, (CVE-2021-38003), είναι ένα σφάλμα “Ακατάλληλης υλοποίησης” και πάλι υψηλής σοβαρότητας στη μηχανή JavaScript του Chrome V8. Αυτή η ευπάθεια ανακαλύφθηκε επίσης από τον Lecigne και αναφέρθηκε στις 24 Οκτωβρίου.
Προς το παρόν, η Google δεν έχει δώσει περισσότερες λεπτομέρειες για ευνόητους λόγους. Ωστόσο, καθώς κυκλοφορεί η νέα έκδοση θα μάθουμε περισσότερα σε μελλοντικές δημοσιεύσεις από τα blog Google TAG ή το Project Zero.
Με αυτές τις επιδιορθώσεις, η Google έχει κλείσει 15 zero-day του Chrome από τις αρχές του 2021.
Τα άλλα 13 zero-day που διορθώθηκαν φέτος παρατίθενται παρακάτω:
CVE-2021-21148 – 4 Φεβρουαρίου 2021
CVE-2021-21166 – 2 Μαρτίου 2021
CVE-2021-21193 – 12 Μαρτίου 2021
CVE-2021-21220 – 13 Απριλίου 2021
CVE-2021-21224 – 20 Απριλίου 2021
CVE-2021-30551 – 9 Ιουνίου 2021
CVE-2021-30554 – 17 Ιουνίου 2021
CVE-2021-30563 – 15 Ιουλίου 2021
CVE-2021-30632 και CVE-2021-30633 – 13 Σεπτεμβρίου
CVE-2021-37973 – 24 Σεπτεμβρίου 2021
CVE-2021-37976 και CVE-2021-37975 – 30 Σεπτεμβρίου 2021
