卡巴斯基发现Chrome的0day漏洞的利用痕迹

iso60001  364天前

22.jpg

近期,谷歌发布了安全补丁,以解决Chrome中的两个严重漏洞,其中一个早已以“0day”的身份出现在互联网中,在近期的黑客攻击中被多次利用。

这两个漏洞被标记为CVE-2019-13720CVE-2019-13721,分别和Chrome的音频组件、PDFIum库有关。

根据谷歌发布的报告

[$7500][1013868] 高严重性 CVE-2019-13721:PDFIum中的Use-after-free漏洞,由Banananapenguin于2019-10-12报告。

[$TBD][1019226] 高严重性 CVE-2019-13720报道:音频组件中的Use-after-free漏洞,由卡巴斯基实验室的Anton Ivanov和Alexey Kulaev于2019年10月29日上报。

谷歌也表示他们清楚CVE-2019-13720漏洞在互联网上的活跃。

这两个漏洞会影响多平台(Windows、Mac和Linux)的Chrome浏览器。谷歌已发布了最新版本78.0.3904.87来修复漏洞,建议用户立即安装更新。

谷歌目前没有公开漏洞的具体细节,只知道这两个漏洞都可能被远程攻击者利用来提升在Chrome浏览器中的权限,以及沙盒逃逸。

“在大多数用户修复漏洞之前,我们不会放出漏洞的错误详细信息。如果有现行项目也依赖于存在漏洞的组件,我们也不会披露漏洞详细信息。”

攻击者可通过诱骗Chrome用户访问自定义的恶意网站来进行攻击,通过Chrome浏览器来执行恶意代码。

卡巴斯基研究人员anton ivanov和alexey kulaev报告了音频组件CVE-2019-13720的0day漏洞。据这两名安全人员透露,这一漏洞所滋生的攻击早已在互联网中被发现,不过研究人员并没有将攻击归咎于某个特定的个人或组织。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://securityaffairs.co/wordpress/93255/hacking/chrome-zero-day.html

最新评论

昵称
邮箱
提交评论