أصدرت شركة جوجل تحديثًا أمنيًا لمتصفح Chrome لإصلاح الثغرة الأمنية الخامسة التي تم استغلالها منذ بداية العام.
المشكلة عالية الخطورة التي يتم تتبعها باسم CVE-2024-4671 هي ثغرة أمنية “مستخدم بعد الاستخدام المجاني” في مكون المرئيات الذي يتعامل مع عرض المحتوى وعرضه على المتصفح.
تم اكتشاف CVE-2024-4671 وإبلاغ Google به بواسطة باحث مجهول، بينما كشفت الشركة أنه من المحتمل أن يتم استغلاله بشكل نشط.
“تدرك Google أن استغلال CVE-2024-4671 موجود في البرية،” يقرأ الاستشارية دون تقديم معلومات إضافية.
عيوب الاستخدام بعد الإخلاء هي عيوب أمنية تحدث عندما يستمر البرنامج في استخدام المؤشر بعد تحرير الذاكرة التي يشير إليها، بعد إكمال عملياته المشروعة في تلك المنطقة.
نظرًا لأن الذاكرة المحررة يمكن أن تحتوي الآن على بيانات مختلفة أو يمكن استخدامها بواسطة برامج أو مكونات أخرى، فقد يؤدي الوصول إليها إلى تسرب البيانات أو تنفيذ التعليمات البرمجية أو التعطل.
عالجت Google المشكلة بإصدار 124.0.6367.201/.202 لنظام التشغيل Mac/Windows و124.0.6367.201 لنظام التشغيل Linux، مع طرح التحديثات خلال الأيام/الأسابيع القادمة.
بالنسبة لمستخدمي القناة “المستقرة الموسعة”، سيتم توفير الإصلاحات في الإصدار 124.0.6367.201 لنظامي التشغيل Mac وWindows، وسيتم طرحها لاحقًا أيضًا.
يتم تحديث Chrome تلقائيًا عند توفر تحديث أمني، ولكن يمكن للمستخدمين التأكد من أنهم يشغلون أحدث إصدار من خلال الانتقال إلى الإعدادات> حول Chrome، والسماح للتحديث بالانتهاء، ثم النقر فوق الزر “إعادة التشغيل” لتطبيقه.
هذا الخلل الأخير الذي تمت معالجته في Google Chrome هو الخامس هذا العام، مع اكتشاف ثلاثة خلل آخر خلال مسابقة القرصنة Pwn2Own في مارس 2024 في فانكوفر.
تتضمن القائمة الكاملة لثغرات يوم الصفر في Chrome التي تم إصلاحها منذ بداية عام 2024 أيضًا ما يلي:
- CVE-2024-0519: نقطة ضعف شديدة الخطورة في الوصول إلى الذاكرة خارج الحدود داخل محرك Chrome V8 JavaScript، مما يسمح للمهاجمين عن بعد باستغلال تلف الكومة عبر صفحة HTML مصممة خصيصًا، مما يؤدي إلى الوصول غير المصرح به إلى المعلومات الحساسة.
- CVE-2024-2887: خطأ ارتباك شديد الخطورة في معيار WebAssembly (Wasm). يمكن أن يؤدي ذلك إلى استغلال تنفيذ التعليمات البرمجية عن بعد (RCE) للاستفادة من صفحة HTML المعدة.
- CVE-2024-2886: ثغرة أمنية يمكن استخدامها بعد الاستخدام مجانًا في WebCodecs API التي تستخدمها تطبيقات الويب لتشفير وفك تشفير الصوت والفيديو. استغلها المهاجمون عن بعد لإجراء عمليات قراءة وكتابة عشوائية عبر صفحات HTML المعدة، مما أدى إلى تنفيذ التعليمات البرمجية عن بعد.
- CVE-2024-3159: ثغرة أمنية شديدة الخطورة ناجمة عن قراءة خارج الحدود في محرك Chrome V8 JavaScript. استغل المهاجمون عن بعد هذا الخلل باستخدام صفحات HTML مصممة خصيصًا للوصول إلى البيانات خارج المخزن المؤقت للذاكرة المخصصة، مما أدى إلى تلف الكومة التي يمكن الاستفادة منها لاستخراج المعلومات الحساسة.