На этой неделе Google выпустила очередное обновление браузера Chrome, задача которого — устранить ещё одну серьёзную уязвимость в JavaScript-движке V8. За последние месяцы для Chrome уже стали привычны частые патчи, поскольку дыры в интернет-обозревателе находят с завидной регулярностью.
Новая брешь получила идентификатор CVE-2021-21227 и высокую степень опасности. О проблеме Google сообщил исследователь из китайской компании Singular Security Lab Геньминь Лью.
В результате интернет-гигант выплатил специалисту $15 000 и описал выявленную уязвимость как «недостаточную валидацию данных в V8».
Лью объяснил изданию SecurityWeek, что потенциальный атакующий может задействовать брешь для удалённого выполнения кода в браузере целевого пользователя. Эксперт также подчеркнул, что в данном случае злоумышленник не сможет просто так выйти за пределы встроенной в Chrome песочницы.
Лью провёл параллель между свежей уязвимостью и ранее обнаруженными CVE-2020-16040 (пропатчена в декабре 2020 года) и CVE-2020-15965 (пропатчена в сентябре 2020 года). Эти баги тоже затрагивают движок V8 и имеют высокую степень риска для конечного пользователя.
Напомним, что на прошлой неделе вышла сборка Google Chrome под номером 90.0.4430.85. С её релизом разработчики устранили опасную 0-day уязвимость, которую злоумышленники эксплуатировали в реальных атаках.
А двумя неделями ранее специалист в области кибербезопасности выложил в Twitter эксплойт для второй 0-day в Chrome и Edge за неделю.
