PoC в сети: ошибка Chrome, которая затронула целую страну

Специалисты опубликовали код эксплойта и детальный анализ уязвимости нулевого дня Google Chrome.

PoC-эксплоит относится к ошибке типа type confusion с идентификатором CVE-2024-5274 (оценка CVSS: 8.8) в движке V8, который используется для обработки JavaScript в браузере. Проблема возникает из-за того, что программа неправильно интерпретирует один тип данных как другой, что может привести к сбоям, повреждению данных и даже выполнению произвольного кода.

Изначально Google выпустила исправление уязвимости в мае 2024 года, но технические детали были скрыты, чтобы предотвратить возможность использования ошибки злоумышленниками. Ситуация изменилась после того, как исследователи @mistymntncop и @buptsb опубликовали на GitHub код эксплойта.

Наличие PoC-кода имеет как положительные, так и отрицательные стороны. С одной стороны, он полезен для ИБ-специалистов, которые могут изучить уязвимость и разработать более эффективные защитные меры. С другой стороны, код может быть использован хакерами для создания реальных эксплойтов и проведения атак.

Данная уязвимость была использована в атаках на правительственные сайты Монголии, которые затрагивали пользователей iOS, так и Android, посещающих зараженные сайты. Атаки были частью более широкой кампании, в ходе которой также была использована другая критическая уязвимость Chrome — CVE-2024-4671. В обеих кампаниях злоумышленники использовали эксплойты, схожие с теми, что применялись коммерческими компаниями Intellexa и NSO Group, занимающимися разработкой шпионских программ.

Google уже выпустила обновление для Chrome — версия 125.0.6422.112/.113 для Windows и Mac и версия 125.0.6422.112 для Linux. Пользователям настоятельно рекомендуется немедленно обновить браузер, чтобы защититься от возможных атак.