- 13,885
- 20
- 8 Ноя 2022
Обновление браузера может спасти ваши данные.
Специалисты BI.ZONE Для просмотра ссылки Войдиили Зарегистрируйся критической уязвимости в JavaScript-движке V8, используемом в браузере Google Chrome . Установлено, что уязвимость представляет угрозу для пользователей Android -смартфонов и некоторых моделей ноутбуков на macOS .
Компания Google Для просмотра ссылки Войдиили Зарегистрируйся о факте эксплуатации уязвимости Для просмотра ссылки Войди или Зарегистрируйся 26 августа, спустя несколько дней после выпуска версии 128.0.6613.84, в которой ошибка была исправлена. Уязвимость позволяет злоумышленникам захватить управление рендерером браузера при переходе пользователя на сайт, содержащий специально подготовленный JavaScript-код. По шкале CVSS данная уязвимость получила оценку 8,8 из 10 баллов, что свидетельствует о её высокой опасности.
В Google отметили, что CVE-2024-7965 использовалась в связке с CVE-2024-7964, уязвимостью, связанной с платформой Privacy Sandbox в Chrome. В комбинации эти уязвимости позволяют злоумышленникам не только получить контроль над браузером жертвы, но и получить доступ к конфиденциальным данным, таким как пароли, история посещений и сохраненные cookie-файлы. Успешная эксплуатация позволяет также установить на устройство шпионское ПО для отслеживания действий пользователя в браузере.
Опасности подвергаются также все браузеры на базе Chromium. В некоторых из них ошибка может быть до сих пор не исправлена.
Анализ показал, что уязвимость CVE-2024-7965 распространяется на устройства с процессорной архитектурой ARM, такие как ноутбуки Apple, выпущенные после ноября 2020 года, и смартфоны на Android любой версии.
Эксперты выяснили, что CVE-2024-7965 связана с некорректной обработкой значений при оптимизации во время выполнения кода JavaScript. Ошибка ведет к возможности записи и чтения за пределами легитимного участка памяти, что, в свою очередь, дает возможность захватить контроль исполнения кода. Это позволяет киберпреступнику при наличии распространенной уязвимости XSS на поддомене популярного сайта (например, my.example.com) украсть сессию пользователя на основном сайте и всех остальных поддоменах (например, example.com и mail.example.com). Последствия варьируются от утечки конфиденциальных данных до заражения устройства вредоносным ПО.
Пользователям рекомендуется обновить браузер до актуальной версии, если автоматическое обновление не настроено, чтобы защитить свои устройства.
Специалисты BI.ZONE Для просмотра ссылки Войди
Компания Google Для просмотра ссылки Войди
В Google отметили, что CVE-2024-7965 использовалась в связке с CVE-2024-7964, уязвимостью, связанной с платформой Privacy Sandbox в Chrome. В комбинации эти уязвимости позволяют злоумышленникам не только получить контроль над браузером жертвы, но и получить доступ к конфиденциальным данным, таким как пароли, история посещений и сохраненные cookie-файлы. Успешная эксплуатация позволяет также установить на устройство шпионское ПО для отслеживания действий пользователя в браузере.
Опасности подвергаются также все браузеры на базе Chromium. В некоторых из них ошибка может быть до сих пор не исправлена.
Анализ показал, что уязвимость CVE-2024-7965 распространяется на устройства с процессорной архитектурой ARM, такие как ноутбуки Apple, выпущенные после ноября 2020 года, и смартфоны на Android любой версии.
Эксперты выяснили, что CVE-2024-7965 связана с некорректной обработкой значений при оптимизации во время выполнения кода JavaScript. Ошибка ведет к возможности записи и чтения за пределами легитимного участка памяти, что, в свою очередь, дает возможность захватить контроль исполнения кода. Это позволяет киберпреступнику при наличии распространенной уязвимости XSS на поддомене популярного сайта (например, my.example.com) украсть сессию пользователя на основном сайте и всех остальных поддоменах (например, example.com и mail.example.com). Последствия варьируются от утечки конфиденциальных данных до заражения устройства вредоносным ПО.
Пользователям рекомендуется обновить браузер до актуальной версии, если автоматическое обновление не настроено, чтобы защитить свои устройства.
- Источник новости
- www.securitylab.ru
