Xakep #305. Многошаговые SQL-инъекции
На этой неделе Google выпустила обновление для Chrome 124, которое исправляет четыре сразу уязвимости, включая критическую проблему CVE-2024-4058 в ANGLE (Almost Native Graphics Layer Engine).
Учитывая, что уязвимости присвоен рейтинг «критической», и она представляет собой баг типа type confusion, вероятнее всего она может использоваться удаленно для выполнения произвольного кода или побега из песочницы при ограниченном взаимодействии с пользователем. Стоит сказать, что за последние годы лишь несколько уязвимостей в Chrome получили статус «критических».
Google поблагодарила за обнаружение CVE-2024-4058 специалистов из группы Qrious Secure. За свои находки исследователи получили вознаграждение в размере 16 000 долларов.
Также Qrious Secure сообщила Google еще как минимум о двух уязвимостях в Chrome: CVE-2024-0517, которая допускает удаленное выполнение кода, и CVE-2024-0223, которая, по словам исследователей, «может быть использована непосредственно через JavaScript, потенциально предоставляя привилегии GPU». Обе проблемы были исправлены в начале текущего года.
Google не сообщает о том, что CVE-2024-4058 уже может эксплуатироваться хакерами. Однако злоумышленники нередко эксплуатируют ошибки типа confusion, найденные в Chrome, хотя чаще такие уязвимости затрагивают JavaScript-движок V8.
