Google vá hai lỗi zero-day trong Chrome

Các nhà nghiên cứu cho rằng nếu không được vá, hai lỗ hổng này có thể sẽ cho phép tin tặc xâm nhập vào thiết bị của người dùng.

Từ Google...

Google đã giải quyết lỗ hổng CVE-2020-16009 trên Chrome dành cho máy tính để bàn và phát hành phiên bản trình duyệt Chrome 86.0.4240.185 cho Android như một bản sửa lỗi cho lỗ hổng CVE-2020-16010. 

Chris Hazelton, Giám đốc giải pháp bảo mật tại Lookout, cho biết các lỗ hổng này sẽ cho phép "kẻ tấn công từ xa xâm phạm vào quá trình kết xuất đồ họa để thực hiện thoát Sandbox bằng cách sử dụng HTML và khai thác thành công lỗ hổng, cho phép chúng xâm phạm vào thiết bị".

Lỗ hổng trên Android, ảnh hưởng đến tất cả các phiên bản, trừ phiên bản mới nhất. Lỗ hổng này làm tràn bộ đệm trong khi xử lý nội dung HTML không đáng tin trong giao diện người dùng Google Chrome trên Android. Nó cho phép kẻ tấn công đưa dữ liệu vào bộ nhớ đệm vượt quá khả năng của nó và làm hỏng dữ liệu hoặc một chức năng chương trình, dẫn đến sự cố hoặc làm hỏng bộ nhớ.

Hai bản vá lỗi zero-day này có sau bản sửa lỗi ngày 20/10 cho lỗi CVE-2020-15999, một bản vá lỗi zero-day trên Chrome dùng cho máy tính để bàn mà Charles Ragland, kỹ sư bảo mật tại Digital Shadows, cho biết, như CVE-2020-16009, CVE-2020-15999 là một lỗ hổng trong thư viện FreeType 2 được sử dụng để hiển thị phông chữ trong Google Chrome và công cụ JavaScript V8 được Google Chrome sử dụng. 

Ông cho biết, những kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi email lừa đảo chứa liên kết đến một trang web lưu trữ trang độc hại với tệp phông chữ đã được sửa đổi. Kết hợp với sự phổ biến của các chiến dịch lừa đảo mà hầu hết các tổ chức phải đối mặt, những thiết bị chưa được vá lỗi đối diện với nguy cơ đáng kể vì có bằng chứng rằng những lỗ hổng này đang bị khai thác.

... Đến Adobe và Oracle

Gần đây nhất, cả Adobe và Oracle cũng đã phát hành các bản vá lỗi cho các sản phẩm do họ phát triển. Adobe đã sửa các lỗ hổng có độ nghiêm trọng từ thấp đến cao trong hệ thống các phần mềm ứng dụng và dịch vụ web Adobe Reader và Acrobat trên cả hệ điều hành Windows và macOS.

Ragland cho biết, các bản cập nhật của Adobe đã giải quyết tổng cộng 14 CVE, trong đó có 4 bản được đánh giá là quan trọng. Các lỗ hổng nghiêm trọng bao gồm lỗ hổng tràn bộ đệm (CVE-2020-24435), lỗ hổng ghi ngoài giới hạn (CVE-2020-24436) và hai lỗi CVE-2020-24430 và CVE- 2020-24437, tất cả đều có thể cho phép thực thi mã tùy ý. Cho đến nay, không có bằng chứng cho thấy những lỗ hổng này đang bị khai thác.

Ngoài ra, từ tháng 2/2018 đến tháng 9/2020, các nhà nghiên cứu của Mandiant - một công ty an ninh mạng có trụ sở tại Alexandria, Virginia, Mỹ đã theo dõi nhóm tin tặc UNC1945 và đã có báo cáo về các sai sót trong hệ điều hành Oracle Solaris. Mandiant đã thông báo lỗ hổng (CVE-2020-14871) cho Oracle, và công ty đã giải quyết việc này trong bản cập nhật của bản vá quan trọng vào tháng 10/2020. 

Theo Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST), lỗ hổng dễ bị khai thác này sẽ cho phép những kẻ tấn công không được xác thực có quyền truy cập mạng thông qua nhiều giao thức xâm phạm Oracle Solaris. Mandiant khuyến nghị, các nhóm bảo mật cần luôn cập nhật tất cả các bản cập nhật vá lỗi hiện tại để đảm bảo tình trạng bảo mật cao.

Oracle cũng đã phát hành bản cập nhật vào đầu tháng này cho phần mềm quản trị hiệu suất doanh nghiệp EPM 11.2.3. Bản cập nhật bao gồm các chứng nhận nền tảng được cập nhật; hợp lý hóa và đơn giản hóa kiến trúc, cập nhật công nghệ cơ bản; và cung cấp cấu hình kho lưu trữ được đơn giản hóa để hợp lý hóa cơ sở hạ tầng và kiến trúc cho tương lai. Oracle sẽ cung cấp hỗ trợ ít nhất đến năm 2030. Bản phát hành mới nhất cũng liệt kê các bản vá lỗi của Oracle có từ tháng 9/2019.