Hôm thứ Hai, Google đã gửi các bản cập nhật bảo mật để giải quyết lỗ hổng zero-day có mức độ nghiêm trọng cao trong trình duyệt web Chrome mà họ cho rằng đang bị khai thác một cách hoang dã.
Thiếu sót, được theo dõi là CVE-2022-2294liên quan đến lỗ hổng tràn đống trong thành phần WebRTC cung cấp khả năng giao tiếp âm thanh và video thời gian thực trong trình duyệt mà không cần cài đặt plugin hoặc tải xuống ứng dụng gốc.
Tràn bộ đệm đống, còn được gọi là tràn đống hoặc đập đống, xảy ra khi dữ liệu bị ghi đè trong khu vực đống của bộ nhớ, dẫn đến thực thi mã tùy ý hoặc điều kiện từ chối dịch vụ (DoS).
MITER giải thích: “Các lỗi tràn dựa trên Heap có thể được sử dụng để ghi đè lên các con trỏ chức năng có thể đang tồn tại trong bộ nhớ, trỏ nó tới mã của kẻ tấn công. “Khi hậu quả là thực thi mã tùy ý, điều này thường có thể được sử dụng để lật đổ bất kỳ dịch vụ bảo mật nào khác.”
Jan Vojtesek thuộc nhóm Tình báo Đe dọa Avast được ghi nhận là người phát hiện và báo cáo lỗ hổng vào ngày 1 tháng 7 năm 2022. Cần chỉ ra rằng lỗi này cũng ảnh hưởng đến phiên bản Android của Chrome.
Như thường lệ với khai thác zero-day, các chi tiết liên quan đến lỗ hổng cũng như các chi tiết cụ thể khác liên quan đến chiến dịch đã được giữ lại để ngăn chặn việc lạm dụng tiếp tục xảy ra và cho đến khi một lượng lớn người dùng được cập nhật bản sửa lỗi.
CVE-2022-2294 cũng đánh dấu việc giải quyết lỗ hổng zero-day thứ tư trong Chrome kể từ đầu năm –
Người dùng nên cập nhật lên phiên bản 103.0.5060.114 cho Windows, macOS và Linux và 103.0.5060.71 cho Android để giảm thiểu các mối đe dọa tiềm ẩn. Người dùng các trình duyệt dựa trên Chromium như Microsoft Edge, Brave, Opera và Vivaldi cũng nên áp dụng các bản sửa lỗi khi và khi chúng có sẵn.
.
