De upptäcker en nolldagarssårbarhet som påverkar de senaste versionerna av Chromium-drivna webbläsare
Innehållsförteckning:
Microsoft och Google samarbetar hand i hand om utvecklingen av Chromium. Ett jobb som har sina fördelar, som vi såg häromdagen när vi pratade om lösningen på buggen som drabbade YouTube i Windows 10, men också ett enstaka problem. Detta är fallet med ett nolldagshot som påverkar båda webbläsarna
En risk som kan påverka både Edge och Chrome och som faktiskt fungerar i de senaste versionerna av båda webbläsarna. Ett hot som upptäckts av en säkerhetsforskare som kan tillåta fjärrkörning av kod och därigenom starta valfri applikation eller program utan användaraktivering.
För Chromium-baserade webbläsare
Forskaren Rajvardhan Agarwal @r4j0x00 på Twitter har upptäckt och åtgärdat en sårbarhet i Edge och Chrome som kan underlätta fjärrexekvering av kod. En bugg som är funktionell i den nuvarande versionen av Google Chrome och Microsoft Edge
Detta är en sårbarhet för fjärrkörning av kod för V8 JavaScript-motorn i Chromium-baserade webbläsare som, även om är fixad i den senaste versionen av V8 JavaScript-motorn, har ännu inte implementerats i båda webbläsarna.
Bugget fungerar när en HTML PoC och motsvarande JavaScript-fil läses in i en Chromium-baserad webbläsare. Forskaren har använt sårbarheten för att starta Windows-kalkylatorprogrammet, men kan göra det lättare att ladda vilket program som helst
Det positiva är att denna bugg är svår att köra, eftersom den är begränsad till Chromiums sandlådeläge som isolerar processen från vila så att en angripare inte kan komma åt resten av systemets applikationer och funktioner. För att göra det möjligt är det nödvändigt att använda kommandot flaggor och kommandot –no-sandbox för att inaktivera sandlådeläget.
Det är att hoppas att de nya uppdateringarna av båda webbläsarna redan har den nya versionen, redan korrigerad, av renderingsmotorn Chromium JavaScript V8, med Chrome 90 som släpps imorgon, beroende på vad som fixar det först.
Via | Pipande dator
