谷歌发布紧急安全更新，修补Chrome零日漏洞

关键要点

• 谷歌为Chrome浏览器发布紧急安全更新，修复了一个零日漏洞。
• 这是谷歌在过去一周内修补的第二个零日漏洞，也是今年的第六个。
• 最新更新修复了CVE-2024-4761，该漏洞可能导致数据盗窃、横向移动和恶意软件植入等严重问题。
• 用户应尽快更新Chrome以防止潜在数据泄露。

谷歌最近发布了一项紧急安全更新，用于其Chrome浏览器，修复了一个零日漏洞。此漏洞的攻击代码已经在网络上被发布，可能导致数据盗窃、横向移动、恶意软件植入等严重后果。这是谷歌过去一周内修补的第二个零日漏洞，也是今年的第六个。

最新更新版本为 ，修补了CVE-2024-4761，一个高危的越界写入漏洞，存在于谷歌的开源V8JavaScript和WebAssembly引擎中（同样影响Chromium浏览器）。该漏洞允许远程攻击者在妥协的渲染进程中通过精心设计的HTML页面进行沙盒逃逸，即绕过浏览器标签，转向其他Web应用程序或网络。

根据Malwarebytes的，此漏洞利用“使得可以操作分配给更关键功能的内存部分”，允许攻击者“将代码写入内存的特定部分，使其以程序和用户不应拥有的权限执行”。

谷歌指出，虽然存在攻击代码，但未透露当前是否有针对该漏洞的活跃攻击。

Bugcrowd的创始人兼首席战略官CaseyEllis在一份电子邮件声明中表示：“这个漏洞在野外存在攻击利用，虽然谷歌表示尚未看到积极的利用活动，但攻击代码的存在表明此类活动可能很快会发生。”

与此同时，四天前，谷歌修复了CVE-2024-4671，这是一个在124.0.6367.201之前的Chrome视觉部分中的使用后释放（UAF）漏洞。该漏洞在补丁发布之前已经被利用，也允许已经妥协的渲染进程进行沙盒逃逸。

Malwarebytes指出，"通过使目标打开特定的、特别设计的网页，攻击是可能的，因此这一漏洞适合作为驱动式攻击的利用。"

尽管这两个漏洞都允许沙盒逃逸且需要渲染进程的妥协，但尚不清楚两者之间是否存在关联。和往常一样，谷歌未公开详情。

2024年第六个Chrome零日漏洞

本周披露的两个漏洞是跟随今年三月在Pwn2Own活动中揭露的另外三个已经被利用的漏洞：CVE-2024-2887（WebAssembly中的类型混淆问题）；CVE-2024-2886（WebCodecs中的UAF问题）；和CVE-2024-3159（V8中的越界内存访问）。

在一月，谷歌修补了今年第一个已被利用的零日漏洞CVE-2024-0519：一个Chrome JavaScript引擎中的越界内存访问漏洞。

相比之下，在2023年，Mandiant（谷歌的一部分）追踪到总共八个Chrome零日漏洞被威胁行为者在修补之前利用，指示出零日漏洞被利用的数量逐年增加。Mandiant在三月的调查还发现，2023年整体被利用的零日漏洞比2022年增加了。

报告指出，绝大多数的利用活动都源于国家行为者对数据盗窃和网络间谍活动的追求。

Critical Start的网络威胁研究高级经理CallieGuenther在一份电子邮件声明中表示：“Chrome中频繁发现零日漏洞具有重要的情报影响。这些漏洞可以被威胁行为者，包括国家资助的团体，利用来进行网络间谍行为，盗窃敏感信息并发起有针对性的攻击。”

为了防止数据泄露，用户应确保他们的系统已安装补丁。Chrome将自动更新，除非用户未关闭浏览器或某个扩展程序阻止了更新。为了安全起见，用户可以通过点击“设置”然后“关于Chrome”手动启动更新。

安全团队应确保所有Chrome安装立即更新。额外的保护措施包括实施浏览器隔离和沙盒技术。

Ellis表示：“没有详细信息的紧急补丁基本上是谷歌的最高警报级别。”他还提醒道：“Chrome将保存并重新打开非隐私标签，因此如果有人因为不想丢失位置而不愿意应用此补丁，那么就不应再拖延。”

有关如何处理数据泄露及其对组织的影响的更多信息，请不要错过定于6月20日举行的免费虚拟活动""。