Google призывает срочно обновить Chrome после обнаружения 0day

Google экстренно выпустил очередное обновление безопасности для своего браузера Chrome. Причиной стало обнаружение критической уязвимости с активной эксплуатацией в реальных атаках.

Уязвимость получила идентификатор CVE-2024-4671 и классифицируется как ошибка использования памяти после освобождения (use-after-free) в компоненте, ответственном за визуализацию веб-контента. Эта опасная уязвимость позволяет злоумышленникам выполнять произвольный код в контексте браузера и полностью скомпрометировать систему.

Сведения об уязвимости были переданы в Google анонимным экспертом по кибербезопасности 7 мая 2024 года. Пользователям срочно рекомендуется обновить Chrome до версии 124.0.6367.201/.202 для Windows и macOS и до версии 124.0.6367.201 для Linux.

Google подтвердил существование эксплойта для этой уязвимости, но не раскрыл детали его использования в атаках или информацию о злоумышленниках.

С начала года компания уже устранила две активно эксплуатируемые уязвимости в Chrome.

В январе была исправлена проблема с доступом за пределами массива в движке V8 JavaScript и WebAssembly (CVE-2024-0519, оценка CVSS: 8.8), которая могла раскрыть конфиденциальную информацию.

В марте, в ходе конкурса Pwn2Own в Ванкувере, были обнаружены ещё три уязвимости:

• CVE-2024-2886 - ошибка использования после освобождения в WebCodecs,
• CVE-2024-2887 - путаница типов в WebAssembly,
• CVE-2024-3159 - доступ за пределами массива в V8.

Владельцам браузеров на базе Chromium, таких как Microsoft Edge, Brave, Opera и Vivaldi, также советуют установить обновления по мере их появления.