Хакер #305. Многошаговые SQL-инъекции
Разработчики Google выпустили незапланированный патч для браузера Chrome. В версии 103.0.5060.114 исправили серьезную уязвимость нулевого дня, уже используемую в атаках. Это уже четвертый 0-day баг, исправленный в Chrome в 2022 году.
Свежая уязвимость получила идентификатор CVE-2022-2294, и инженеры компании предупреждают, что им известно об эксплуатации этой проблемы в реальных атаках. Известно, что баг представляет собой переполнение буфера хипа в компоненте WebRTC, и первым о нем в минувшую пятницу сообщил ИБ-эксперт Ян Войтесек из команды Avast Threat Intelligence.
Успешная атака на уязвимость такого типа может привести к различным последствиям, от сбоев в работе браузера, до выполнения произвольного кода и обхода защитных механизмов. Также нужно сказать, что эта ошибка влияет и на версию Chrome для Android.
Хотя Google заявляет, что уязвимость уже эксплуатировали хакеры, пока компания не сообщает никаких технических подробностей об этих инцидентах. В Google традиционно пишут, что «доступ к сведениям об ошибках и ссылкам может быть ограничен до тех пор, пока большинство пользователей не получат исправление».
Стоит отметить, что также в этой версии Chrome были устранены и другие уязвимости: CVE-2022-2295 (проблема типа type confusion в движке JavaScript V8) и CVE-2022-2296 (ошибка типа use after free в Chrome OS Shell).
