أصدرت Google تحديثًا أمنيًا طارئًا جديدًا لمعالجة الثغرة الأمنية الثامنة في متصفح Chrome والتي تم استغلالها بشكل نشط.
تم اكتشاف المشكلة الأمنية داخليًا بواسطة Clément Lecigne من Google وتم تتبعها بالرقم CVE-2024-5274. إنه “ارتباك في النوع” عالي الخطورة في V8، محرك JavaScript في Chrome المسؤول عن تنفيذ تعليمات JS البرمجية.
وقالت الشركة في بيان لها: “إن Google تدرك أن هناك ثغرة أمنية لـ CVE-2024-5274 موجودة في البرية”.استشارة أمنية.
تحدث ثغرة “ارتباك النوع” عندما يقوم أحد البرامج بتخصيص جزء من الذاكرة للاحتفاظ بنوع معين من البيانات ولكنه يفسر البيانات عن طريق الخطأ على أنها نوع مختلف. يمكن أن يؤدي ذلك إلى حدوث أعطال، وتلف البيانات، بالإضافة إلى تنفيذ تعليمات برمجية عشوائية.
ولم تشارك Google التفاصيل الفنية حول الخلل لحماية المستخدمين من محاولات الاستغلال المحتملة من جهات التهديد الأخرى والسماح لهم بتثبيت إصدار متصفح يعالج المشكلة.
“قد يظل الوصول إلى تفاصيل الأخطاء والروابط مقيدًا حتى يتم تحديث غالبية المستخدمين بإصلاح. وسنحتفظ أيضًا بالقيود في حالة وجود الخطأ في مكتبة تابعة لجهة خارجية تعتمد عليها مشاريع أخرى بالمثل، ولكن لم يتم إصلاحها بعد، ” قال عملاق التكنولوجيا.
الإصلاح متاح على Chrome Stable
يتم طرح إصلاح Google على قناة Chrome الثابتة في الإصدار 125.0.6422.112/.113 لنظامي التشغيل Windows وMac، بينما سيحصل مستخدمو Linux على التحديث على الإصدار 125.0.6422.112 في الأسابيع المقبلة.
يقوم Chrome بتثبيت تحديثات الأمان المهمة تلقائيًا، وتصبح سارية المفعول بعد إعادة تشغيل المتصفح. يمكن للمستخدمين التأكد من أنهم يستخدمون أحدث إصدار في القسم “حول” في قائمة “الإعدادات”.
في حالة توفر تحديث، يجب على المستخدمين الانتظار حتى تنتهي عملية التحديث ثم النقر فوق الزر “إعادة التشغيل” لتطبيقه.
الثالثة استغلت بنشاط يوم الصفر هذا الشهر
CVE-2024-5274 هي الثغرة الثامنة التي يتم استغلالها بشكل نشط والتي قامت Google بإصلاحها في Chrome منذ بداية العام، والثالثة هذا الشهر.
وفي نفس الوقت جوجل القرار السابق لتقليل تسليم تحديثات أمان Chrome من مرتين إلى مرة واحدة في الأسبوع، يعالج مشكلة فجوة التصحيح التي تمنح الجهات الفاعلة في مجال التهديد وقتًا إضافيًا لاستغلال عيوب يوم الصفر.
عيوب يوم الصفر التي تم استغلالها بشكل نشط في Chrome والتي تم تصحيحها في وقت سابق من هذا العام هي:
- CVE-2024-0519: نقطة ضعف شديدة الخطورة في الوصول إلى الذاكرة خارج الحدود داخل محرك Chrome V8 JavaScript، مما يسمح للمهاجمين عن بعد باستغلال تلف الكومة عبر صفحة HTML مصممة خصيصًا، مما يؤدي إلى الوصول غير المصرح به إلى المعلومات الحساسة.
- CVE-2024-2887: خطأ ارتباك شديد الخطورة في معيار WebAssembly (Wasm). يمكن أن يؤدي ذلك إلى استغلال تنفيذ التعليمات البرمجية عن بعد (RCE) للاستفادة من صفحة HTML المعدة.
- CVE-2024-2886: ثغرة أمنية يمكن استخدامها بعد الاستخدام مجانًا في WebCodecs API التي تستخدمها تطبيقات الويب لتشفير وفك تشفير الصوت والفيديو. استغلها المهاجمون عن بعد لإجراء عمليات قراءة وكتابة عشوائية عبر صفحات HTML المعدة، مما أدى إلى تنفيذ التعليمات البرمجية عن بعد.
- CVE-2024-3159: ثغرة أمنية شديدة الخطورة ناجمة عن القراءة خارج الحدود في محرك Chrome V8 JavaScript. استغل المهاجمون عن بعد هذا الخلل باستخدام صفحات HTML مصممة خصيصًا للوصول إلى البيانات خارج المخزن المؤقت للذاكرة المخصصة، مما أدى إلى تلف الكومة التي يمكن الاستفادة منها لاستخراج المعلومات الحساسة.
- CVE-2024-4671: عيب شديد الخطورة بعد الاستخدام في مكون المرئيات الذي يتعامل مع عرض المحتوى وعرضه في المتصفح.
- CVE-2024-4761: مشكلة كتابة خارج الحدود في محرك JavaScript V8 الخاص بمتصفح Chrome، وهو المحرك المسؤول عن تنفيذ تعليمات برمجية JS في التطبيق.
- CVE-2024-4947: ضعف شديد الخطورة في محرك جافا سكريبت Chrome V8، مما قد يؤدي إلى تمكين تنفيذ تعليمات برمجية عشوائية على الجهاز المستهدف.