- Google vừa phát hành bản cập nhật bảo mật cho trình duyệt Chrome để khắc phục một lỗ hổng zero-day nghiêm trọng đang bị khai thác trên không gian mạng.
Đó là lỗ hổng CVE-2023-7024, một lỗi tràn bộ đệm heap trong framework WebRTC, có thể dẫn đến việc thực thi mã từ xa hoặc gây sự cố cho ứng dụng. Hiện vẫn chưa có thông tin chi tiết về cách lỗ hổng này bị khai thác nhằm giảm thiểu nguy cơ bị tấn công.
Hơn nữa, framework WebRTC là một dự án mã nguồn mở được Mozilla Firefox và Apple Safari cũng sử dụng. Tuy nhiên, hiện vẫn chưa rõ liệu lỗ hổng này có ảnh hưởng đến các trình duyệt khác ngoài Chrome hoặc các trình duyệt dựa trên Chromium.
Việc công bố thông tin này đánh dấu lỗ hổng zero-day thứ 8 bị khai thác trên Chrome kể từ đầu năm 2023.
 |
CVE-2023-2033 (Điểm CVSS: 8.8) - Type confusion trên V8
CVE-2023-2136 (Điểm CVSS: 9.6) – Lỗ hổng tràn số nguyên trên Skia
CVE-2023-3079 (Điểm CVSS: 8.8) - Type confusion trên V8
CVE-2023-4762 (Điểm CVSS: 8.8) - Type confusion trên V8
CVE-2023-4863 (Điểm CVSS: 8.8) - Lỗ hổng tràn bộ đệm trên heap trên WebP
CVE-2023-5217 (Điểm CVSS: 8.8) - Lỗ hổng tràn bộ đệm trên heap trên mã hóa vp8 trong libvpx
CVE-2023-6345 (Điểm CVSS: 9.6) - Lỗ hổng tràn số nguyên trên Skia
Theo thống kê đã có 26,447 lỗ hổng an toàn thông tin được phát hiện trong năm 2023, nhiều hơn 1500 CVE so với năm ngoái, trong đó có 115 lỗ hổng đã bị khai thác bởi các đối tượng tấn công và các nhóm ransomware.
Đứng đầu danh sách các lỗ hổng phổ biến là: thực thi mã từ xa, bỏ qua chức năng bảo mật, thao túng bộ đệm, leo thang đặc quyền, lỗi xác thực đầu vào và phân tích cú pháp.
Người dùng được khuyến nghị cần nhanh chóng cập nhật Chrome lên phiên bản 120.0.6099.129/130 cho Windows và 20.0.6099.129 cho macOS/Linux để giảm thiểu nguy cơ bị tấn công. Đồng thời, người dùng sử dụng trình duyệt Chromium như Microsoft Edge, Brave, Opera và Vivaldi cũng được khuyến nghị cập nhật bản vá ngay khi khả dụng.
PV
