На этой неделе компания Google устранила семь уязвимостей в браузере Chrome, в том числе две проблемы нулевого дня, использованные экспертами во время хакерского соревнования Pwn2Own Vancouver 2024.
Первая уязвимость, CVE-2024-2887, представляет собой проблему типа type confusion в WebAssembly (Wasm). Этот баг в первый день Pwn2Own продемонстрировал исследователь Манфред Пол (Manfred Paul), использовав его в рамках эксплоита для удаленного выполнения кода (RCE) с помощью вредоносной HTML-страницы. Этот баг специалист применял как против Chrome, так и против Edge.
Второй 0-day получил идентификатор CVE-2024-2886 и был использован специалистами KAIST Hacking Lab в ходе второго дня Pwn2Own.
Эта проблема описывается как use-after-free баг в API WebCodecs, используемом веб-приложениями для кодирования и декодирования аудио- и видеоконтента. Уязвимость позволяет удаленным злоумышленникам выполнять произвольное чтение/запись через вредоносные HTML-страницы. CVE-2024-2886 также использовалась для удаленного выполнения кода в Google Chrome и Microsoft Edge.
Google исправила обе уязвимости в стабильной версии Google Chrome: 123.0.6312.86/.87 для Windows и Mac и 123.0.6312.86 для пользователей Linux, которая будет распространена по всему миру в ближайшие дни.
Напомним, что ранее разработчики Mozilla так же исправили две уязвимости нулевого дня в Firefox, обнаруженные Манфредом Полом: out-of-bounds запись (CVE-2024-29943) и побег из песочницы (CVE-2024-29944).
При этом Mozille для выпуска патчей потребовался всего один день, а Google — пять дней, что является отличным результатом. Как правило, производители не спешат выпускать исправления для багов, продемонстрированных на Pwn2Own, поскольку у них есть 90 дней, прежде чем организаторы Pwn2Own, Trend Micro Zero Day Initiative, публично не раскроют детали уязвимостей.