CVE-2023-7024: очередной 0-day в Chrome угрожает безопасности миллионов пользователей веб-браузеров

Вчера компания Google выпустила обновление безопасности для своего веб-браузера Chrome, чтобы устранить высокоуровневую zero-day уязвимость, которая, как сообщается, уже эксплуатируется злоумышленниками.

Уязвимость, получившая обозначение CVE-2023-7024 , описана как ошибка переполнения буфера кучи в рамках фреймворка WebRTC. Эта уязвимость может привести к сбоям программы или выполнению произвольного кода.

Другие детали о недостатке безопасности пока не раскрываются, чтобы предотвратить дальнейшее злоупотребление. В Google подтверждают, что эксплойт для CVE-2023-7024 уже существует и активно используется в реальных атаках.

Обнаруженная ошибка стала восьмой по счёту активно эксплуатируемой «zero-day» уязвимостью в Chrome с начала года. К предыдущим относятся:

1. CVE-2023-2033 (CVSS оценка: 8.8) — путаница типов в V8;
2. CVE-2023-2136 (CVSS оценка: 9.6) — переполнение целого числа в Skia;
3. CVE-2023-3079 (CVSS оценка: 8.8) — путаница типов в V8;
4. CVE-2023-4762 (CVSS оценка: 8.8) — путаница типов в V8;
5. CVE-2023-4863 (CVSS оценка: 8.8) — переполнение буфера в WebP;
6. CVE-2023-5217 (CVSS оценка: 8.8) — переполнение буфера в кодировании vp8 в libvpx;
7. CVE-2023-6345 (CVSS оценка: 9.6) — переполнение целого числа в Skia.

По данным экспертов, самыми распространёнными типами уязвимостей в 2023 году стали: удалённое выполнение кода, обход механизмов безопасности, манипулирование буфером, повышение привилегий и ошибки в проверке и обработке ввода.

Всем пользователям Chrome на любых настольных платформах рекомендуется проверить версию браузера и обновиться в случае наличия доступного обновления. Безопасной на данный момент считается версия 120.0.6099.129 и свежее.

Пользователям браузеров, основанных на Chromium, таких как Microsoft Edge, Brave, Opera, Vivaldi и Яндекс Браузер, также необходимо применить исправления, как только они станут доступны.