Được phát hành bởi Rajvardhan Agarwal, hoạt động khai thác liên quan đến lỗ hổng thực thi mã từ xa trong công cụ kết xuất JavaScript V8 hỗ trợ trình duyệt web. Nó được cho là cùng một lỗ hổng được chứng minh bởi Bruno Keith và Niklas Baumstark của Dataflow Security tại cuộc thi hack Pwn2Own 2021 vào tuần trước.
Keith và Baumstark đã được thưởng 100.000 đô la vì đã tận dụng lỗ hổng để chạy mã độc bên trong Chrome và Edge.
Theo ảnh chụp màn hình được chia sẻ bởi Agarwal, tệp PoC HTML và tệp JavaScript liên quan của nó có thể được tải trong trình duyệt dựa trên Chromium để khai thác lỗ hổng bảo mật và khởi chạy ứng dụng máy tính Windows (calc.exe). Nhưng điều đáng chú ý là việc khai thác cần phải được xâu chuỗi với một lỗ hổng khác có thể cho phép nó thoát khỏi sandbox của Chrome.
Có vẻ như Agarwal đã có thể kết hợp PoC bằng cách thiết kế ngược bản vá mà nhóm Chromium của Google đã đẩy sang thành phần mã nguồn mở sau khi chi tiết về lỗ hổng được chia sẻ với công ty.
Mặc dù Google đã giải quyết vấn đề trong phiên bản V8 mới nhất, nhưng có vẻ nó vẫn chưa ổn định, do đó khiến các trình duyệt dễ bị tấn công. Google dự kiến sẽ xuất xưởng Chrome 90 vào cuối ngày hôm nay, nhưng không rõ liệu bản phát hành có bao gồm một bản vá cho lỗ hổng V8 hay không.
Nguồn: RCE Exploit Released for Unpatched Chrome, Opera, and Brave Browsers
Khi các tổ chức áp dụng công việc kết hợp, họ cần mở rộng bảo mật cho nhân viên bất kể họ có thể ở đâu. Mô hình làm việc từ mọi nơi (WFA) tiềm ẩn những rủi ro về bảo mật, vì vậy, điều quan trọng đối với các tổ chức là cung cấp […]
Hãy tưởng tượng nếu doanh nghiệp của bạn có thể hợp nhất các công cụ bảo mật thành một hệ sinh thái toàn diện luôn học hỏi và thích ứng để giữ cho bạn an toàn. Với tính năng phát hiện và phản hồi mở rộng (XDR), bạn có thể. Nó cho phép bạn xác […]
Vị trí dẫn đầu thị trường tường lửa thế hệ tiếp theo (NGFW) toàn cầu của Fortinet không chỉ vì chúng tôi vận chuyển số lượng thiết bị lớn nhất trên toàn thế giới. Cũng không phải chỉ do giải pháp FortiGate thường xuyên được các nhà phân tích đặt vào vị trí dẫn đầu. […]
