谷歌修复已遭利用的 Chrome 0day
编译：奇安信代码卫士团队
谷歌在公布 Chrome 88.0.4324.150时指出，“谷歌注意到关于 CVE-2021-21148 在野 exploit 的存在。”
新版本将在接下来几天/周内发布到整个用户数据库。Windows、Mac 和 Linux 桌面用户可通过 Settings→Help→About Google Chrome 升级至Chrome 88。之后，谷歌 Chrome Web 浏览器将自动检查新的更新并在可用时安装。
谷歌为该漏洞分配的编号是 CVE-2021-21148，由 Mattias Buelens 在2021年1月24日报告。
微软在1月28日披露称受国家支持的朝鲜黑客组织 ZINC “可能”使用一个 Chrome 浏览器利用链（通过0day 或补丁间隔exploit）攻击漏洞研究员。
另据0Patch 平台创始人称，黑客还利用了 IE 11中的一个 0day 社工漏洞研究员，目前该平台已证实漏洞存在并表示正在推出补丁。微软表示正在调查此事。
CVE-2021-21148是位于谷歌开源和基于C++高性能 WebAssembly 和 JavaScript 引擎V8中的堆缓冲区溢出漏洞。
一般而言缓冲区溢出漏洞可导致崩溃后果，同时也可被攻击者用于在运行易受攻击软件的系统上执行任意代码。
即使谷歌表示，“已发现关于 CVE-2020-16009 的在野exploit”，但并未提供关于幕后攻击者的任何详情。谷歌还指出，“在大多数用户更新安装修复方案之前，漏洞详情和链接不会发布。如果漏洞存在于其它类似项目依赖的第三方库中但未修复，我们也会保留该限制。”这样做的目的是为 Chrome 用户提供安装安全更新的更多时间并阻止攻击者针对该 0day 创建其它 exploit。
去年，谷歌在一个月内（2020年10月20日至2020年11月12日）修复已遭在野利用的5个0day。
三番四次，Installer 0day 终于获得微补丁
谷歌再修复已遭利用的两个高危 Chrome 0day
https://www.bleepingcomputer.com/news/security/google-fixes-chrome-zero-day-actively-exploited-in-the-wild/
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。