Chrome再曝0day！
2021-04-16 18:59:00 Author: mp.weixin.qq.com(查看原文) 阅读量:170 收藏

4月13日，一名印度安全研究员公布了一个远程代码执行的0day漏洞，攻击者可通过构造特制web页面并诱导受害者访问来利用此漏洞获得远程代码执行。

该漏洞存在于 V8 JavaScript 引擎中，在基于Chromium的浏览器中加载PoC HTML文件及其相应的JavaScript文件时，它将利用此漏洞启动Windows计算器（calc.exe）程序。


此漏洞一出，立刻引起大家的恐慌和注意。

第二天，也就是4月14日，紧接着一个名为frust的安全人员在twitter上公布了chrome的另一个0day漏洞，并发布PoC，该漏洞会导致在GoogleChrome89.0.4389.128和MicrosoftEdge 89.0.774.76上启动记事本，这是这两种浏览器的最新版本。

据悉该漏洞影响到当前版本的谷歌Chrome、Edge以及其他可能基于Chromium的浏览器。
值得注意的是由于Chrome自身拥有沙箱保护，这两个漏洞在沙箱内无法被成功利用，一般情况下，仍然需要配合提权或沙箱逃逸漏洞才行达到沙箱外代码执行的目的。

但是仍然有不少基于v8等组件的软件，尤其是未开启沙箱保护的软件，面临着潜在的安全风险。

因此敦促各大软件厂商、终端用户、监管机构等及时采取更新、防范措施；使用Chrome的用户需及时更新，使用其他Chrome内核浏览器的用户则需要提高安全意识，防范攻击。



第五届看雪安全开发者峰会，10月23日上海开启！

推荐文章++++

* 《看雪安卓安全人才标准认证》技术要求细则发布

* 微软补丁星期二：修复108个漏洞，含5个0day

* Android 更新服务器遭黑客攻击 ，德产手机被安装恶意软件

* 小心！手机恢复出厂设置数据仍可“复活”

* 黑客论坛出售领英5亿用户信息

* 诺基亚8.1、2.3 可以更新 Android 11 了！


﹀
﹀
﹀
公众号ID：ikanxue
官方微博：看雪安全
商务合作：[email protected]

球分享

球点赞

球在看

戳“阅读原文”一起来充电吧！

文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458383774&idx=2&sn=e630f64b0774c5b1cdf125eb30969976&chksm=b180c51486f74c02d00f7588bf869c8d64ae8932176fe5a10944cbbd6b57df257170a19051e5#rd
如有侵权请联系:admin#unsafe.sh