گوگل امروز اعلام کرد که دهمین آسیب‌پذیری روز صفر (Zero-day) را که در سال ۲۰۲۴ توسط مهاجمان یا محققان امنیتی در جریان مسابقات هکینگ مورد سوءاستفاده قرار گرفته بود، برطرف کرده است.
آسیب‌پذیری CVE-2024-7965 که توسط محققی به نام TheDog گزارش شده و اکنون برطرف شده است، در موتور جاوااسکریپت V8 Chrome رخ داده و به مهاجمان راه دور امکان سوءاستفاده از خرابی heap را از طریق یک صفحه HTML خاص می‌داده است.
این اطلاعات جدید در به‌روزرسانی یک پست وبلاگی اعلام شده که در آن، شرکت قبلاً از رفع یک آسیب‌پذیری روز صفر دیگر که مربوط به ضعف نوع‌بندی ( type confusion ) در موتور V8 بود، خبر داده بود.
گوگل در تاریخ ۲۶ اوت ۲۰۲۴ به‌روزرسانی را منتشر کرده که نشان‌دهنده بهره‌برداری عملی از آسیب‌پذیری CVE-2024-7965 است. این بهره‌برداری پس از انتشار اولیه گزارش شده و گوگل همچنین آگاه است که سوءاستفاده‌هایی از آسیب‌پذیری‌های CVE-2024-7971 و CVE-2024-7965 در دنیای واقعی وجود دارد.
گوگل هر دو آسیب‌پذیری روز صفر را در نسخه‌های Chrome ۱۲۸٫۰٫۶۶۱۳٫۸۴ و ۱۲۸٫۰٫۶۶۱۳٫۸۵ برای سیستم‌های ویندوز و مک و نسخه ۱۲۸٫۰٫۶۶۱۳٫۸۴ برای کاربران لینوکس برطرف کرده است. این نسخه‌های جدید از روز چهارشنبه به‌تدریج برای همه کاربران در کانال پایدار دسکتاپ منتشر می‌شوند.
حتی با وجود اینکه Chrome به‌طور خودکار به‌روزرسانی می‌شود زمانی که وصله‌های امنیتی در دسترس هستند، شما می‌توانید این فرآیند را سرعت ببخشید و به‌روزرسانی‌ها را به صورت دستی اعمال کنید. برای این کار باید به منوی Chrome بروید، گزینه Help را انتخاب کنید، سپس روی About Google Chrome کلیک کنید. با این کار، به‌روزرسانی انجام می‌شود و سپس باید روی دکمه Relaunch کلیک کنید تا به‌روزرسانی نصب شود.
اگرچه گوگل تأیید کرده است که از آسیب‌پذیری‌های CVE-2024-7971 و CVE-2024-7965 در دنیای واقعی (در محیط‌های عملی) استفاده شده است، اما هنوز اطلاعات بیشتری در مورد این حملات به اشتراک نگذاشته است.
گوگل به دلایل امنیتی تصمیم گرفته است اطلاعات دقیق درباره‌ی این باگ و لینک‌های مرتبط را تا زمانی که بیشتر کاربران به‌روزرسانی را دریافت نکرده‌اند، محدود کند. این کار برای جلوگیری از سوءاستفاده‌های احتمالی انجام می‌شود.
اگر باگی در یک کتابخانه‌ی شخص ثالث وجود داشته باشد که پروژه‌های دیگر هم از آن استفاده می‌کنند و این پروژه‌ها هنوز این باگ را برطرف نکرده‌اند، گوگل محدودیت‌ها را برای اطلاعات مربوط به این باگ همچنان حفظ خواهد کرد تا از سوءاستفاده احتمالی جلوگیری شود.
از ابتدای سال، گوگل هشت آسیب‌پذیری روز صفر را که در حملات واقعی یا در مسابقات هک Pwn2Own به کار رفته بودند، برطرف کرده است.
CVE-2024-0519 یک ضعف با شدت بالا در دسترسی خارج از محدوده‌ی حافظه در موتور جاوااسکریپت V8 مرورگر Chrome است که به مهاجمان راه دور اجازه می‌دهد تا با استفاده از یک صفحه HTML خاص طراحی شده، به بهره‌برداری از خرابی Heap ( نوعی خرابی حافظه ) پرداخته و به اطلاعات حساس به‌طور غیرمجاز دسترسی پیدا کنند.
آسیب‌پذیری CVE-2024-2887 یک نقص جدی در type confusion در استاندارد WebAssembly است که می‌تواند به سوءاستفاده‌های اجرای کد از راه دور منجر شود و مهاجمان می‌توانند از طریق صفحات HTML خاص طراحی شده، از این نقص بهره‌برداری کنند.
CVE-2024-2886 یک آسیب‌پذیری از نوع استفاده بعد از آزادسازی (Use-after-free) در WebCodecs API است که توسط برنامه‌های وب برای کدگذاری و رمزگشایی صوت و ویدئو استفاده می‌شود. مهاجمان از راه دور از این آسیب‌پذیری سوءاستفاده کرده و با استفاده از صفحات HTML خاص طراحی شده، قادر به انجام خواندن و نوشتن‌های دلخواه شدند که به اجرای کد از راه دور منجر می‌شود.
آسیب‌پذیری CVE-2024-3159 در موتور جاوااسکریپت V8 Chrome به دلیل خواندن خارج از محدوده به وجود آمده و توسط مهاجمان از راه دور با استفاده از صفحات HTML خاص طراحی شده، به داده‌های خارج از بافر حافظه دسترسی پیدا کردند که منجر به خرابی حافظه و امکان استخراج اطلاعات حساس شد.
آسیب‌پذیری CVE-2024-4671 یک نقص جدی از نوع استفاده بعد از آزادسازی در مؤلفه‌ای از مرورگر است که وظیفه‌ی رندر کردن و نمایش محتوا را بر عهده دارد.
آسیب‌پذیری CVE-2024-4761 یک مشکل جدی از نوع نوشتن خارج از محدوده در موتور جاوااسکریپت V8 مرورگر Chrome است که مسئول اجرای کدهای جاوااسکریپت در مرورگر می‌باشد.
آسیب‌پذیری CVE-2024-4947 یک ضعف در نوع‌بندی در موتور جاوااسکریپت V8 مرورگر Chrome است که می‌تواند به مهاجمان اجازه دهد کد دلخواه را بر روی دستگاه هدف اجرا کنند.
آسیب‌پذیری CVE-2024-5274 یک ضعف در نوع‌بندی در موتور جاوااسکریپت V8 مرورگر Chrome است که می‌تواند منجر به کرش کردن، فساد داده‌ها یا اجرای کد دلخواه شود.
