Инженеры Google исправили 0-day уязвимость в Chrome для Android, причем сообщается, что устраненную проблему уже эксплуатируют хакеры.

Chrome для Android версии 86.0.4240.185 был выпущен на этой неделе, и новая версия содержит исправление уязвимости CVE-2020-16010. Известно, что данная проблема связана с переполнения буфера хипа в компоненте пользовательского интерфейса (UI), однако технические подробности пока не раскрываются, так как эксперты не хотят давать злоумышленникам подсказок, и дают пользователям время спокойно установить обновления.

Специалисты компании отмечают, что уязвимость уже применялась злоумышленниками для для побега из песочницы, то есть позволяла выполнить код в контексте ОС, вне изолированной среды.

Таким образом, за последние две недели эксперты Threat Analysis Group (TAG), внутренней команды безопасности Google, задача которой — отслеживать злоумышленников и их текущие операции, выявили и исправили уже три 0-day уязвимости, находившиеся под атаками.

Так, в конце октября была найдена и исправлена ошибка CVE-2020-15999, связанная с работой библиотеки рендеринга шрифтов FreeType, которая входит в состав стандартных дистрибутивов Chrome. Этот баг был сопряжен с нарушением целостности информации в памяти. Напомню, что проблема CVE-2020-15999 использовалась в связке с другой 0-day уязвимостью — CVE-2020-17087, серьезным багом, обнаруженным в ядре Windows.

Также ранее на этой неделе в Chrome была исправлена уязвимость CVE-2020-16009. По имеющимся данным, проблема была связана с работой JavaScript-движка V8 и допускала удаленное выполнение произвольного когда (RCE).

1 комментарий

  1. Аватар

    0d8bc7

    05.11.2020 в 18:59

    На первый взгляд может показаться, что приложения для Android должны быть более безопасными, т.к. Android же не Винда, приложения как бы изолированы друг от друга. Но по факту в приложения для Android систематически пихают кучу нативного кода (хотя не проверял, есть ли он в Chrome, но наверное, есть). Так что ничего удивительного. Так бы можно было хоть на небезопасность ОС свалить.

Оставить мнение