O Google corrige mais dois dias zero do Chrome que estavam sob exploração ativa | Netphones - Tudo sobre Smartphones
O Google corrige mais dois dias zero do Chrome que estavam sob exploração ativa
O Google corrigiu duas vulnerabilidades de dia zero em seu navegador Chrome, a terceira vez em duas semanas que a empresa consertou uma falha de segurança do Chrome que está sob exploração ativa.
De acordo com um Tweet de segunda-feira de Ben Hawkes, chefe do braço de pesquisa de vulnerabilidades e exploits do Google Project Zero, CVE-2020-16009, conforme a primeira vulnerabilidade é rastreada, é um bug de execução remota de código no V8, o mecanismo JavaScript de código aberto do Chrome. Uma segunda falha de segurança, CVE-2020-16010, é um estouro de buffer baseado em heap no Chrome para Android. Hawkes disse que permite que os invasores escapem da sandbox do Android, sugerindo que os hackers podem ter usado em combinação com uma vulnerabilidade separada.
Hawkes não forneceu detalhes adicionais, como quais versões de desktop do Chrome foram ativamente alvejadas, quem eram as vítimas ou por quanto tempo os ataques duraram. Também não estava claro se o mesmo grupo de ataque era responsável por todos os três exploits. CVE-2020-16009 foi em parte descoberto por um membro do Grupo de Análise de Ameaças do Google, que se concentra em hackers apoiados pelo governo, sugerindo que explorações dessa vulnerabilidade podem ser obra de um estado-nação. O Projeto Zero esteve envolvido na descoberta de todos os três dias-zero.
As atualizações vêm duas semanas depois que o Google corrigiu CVE-2020-15999, um vulnerabilidade explorada ativamente no Freetype, que o Chrome e outros aplicativos não pertencentes ao Google usam para renderizar fontes. Para obter recursos de execução de código, os hackers estavam combinando exploits com um outro que visava um bug não corrigido no Windows 10 e Windows 7.
As versões para desktop do Chrome normalmente são atualizadas automaticamente. Isso significa que, para a maioria dos usuários, os patches para CVE-2020-16009 e CVE-2020-15999 já foram instalados, desde que tenham reiniciado o navegador recentemente. O Chrome para Android é atualizado por meio do Google Play. O comunicado do Chrome Android disse que a correção está incorporada na versão 86.0.4240.185. O aviso dizia que a atualização estaria disponível "nas próximas semanas", mas o telefone que verifiquei (um Pixel) já o tinha instalado.