Chrome Zero-Day Under Active Attack: Patch ASAP

क्रोम जीरो-डे अंडर एक्टिव अटैक: पैच ASAP

वर्ष का पहला क्रोम शून्य-दिन डेटा भ्रष्टाचार से लेकर कमजोर सिस्टम पर मनमाने कोड के निष्पादन तक सभी प्रकार के दुखों को जन्म दे सकता है।

Google ने सोमवार को अपने क्रोम ब्राउज़र के लिए 11 सुरक्षा फ़िक्सेस जारी किए, जिसमें एक उच्च-गंभीर शून्य-दिन बग शामिल है जो जंगली में हमलावरों द्वारा सक्रिय रूप से कूदा जा रहा है।

एक संक्षिप्त अपडेट में, Google ने CVE-2022-0609 के रूप में ट्रैक की गई कमजोरी को क्रोम के एनिमेशन घटक में उपयोग के बाद-मुक्त भेद्यता के रूप में वर्णित किया। इस तरह की खामियां सभी प्रकार के दुखों को जन्म दे सकती हैं, वैध डेटा के भ्रष्टाचार से लेकर कमजोर सिस्टम पर मनमाने कोड के निष्पादन तक। ब्राउज़र के सुरक्षा सैंडबॉक्स से बचने के लिए इस तरह की खामियों का भी इस्तेमाल किया जा सकता है।

"Google उन रिपोर्टों से अवगत है कि CVE-2022-0609 के लिए एक शोषण जंगली में मौजूद है," इसके सुरक्षा अद्यतन के अनुसार।

एनिमेशन समस्या को ठीक करने के लिए, 10 अन्य सुरक्षा मुद्दों के साथ, Google ने आने वाले दिनों या हफ्तों में रोल आउट होने के कारण विंडोज, मैक और लिनक्स के लिए क्रोम 98.0.4758.102 जारी किया।

हालांकि, क्रोम उपयोगकर्ता इसे सीधे क्रोम मेनू> सहायता> Google क्रोम के बारे में जाकर ठीक कर सकते हैं।

यह देखते हुए कि शून्य दिन सक्रिय हमले के अधीन है, क्रोम को अपडेट करना ASAP किया जाना चाहिए।

एनिमेशन जीरो डे का श्रेय, Google के थ्रेट एनालिसिस ग्रुप (TAG) से, एडम वेइडमैन और क्लेमेंट लेसीग्ने को जाता है।

सोमवार के अपडेट ने क्रोम के वेबस्टोर एपीआई, फाइल मैनेजर, एंगल और जीपीयू में पाए गए चार अन्य उच्च-गंभीर उपयोग-आफ्टर-फ्री खामियों पर भी ध्यान दिया। साथ ही, कंपनी ने मोजो में एक उच्च-गंभीर पूर्णांक अतिप्रवाह को संबोधित किया, साथ ही टैब समूहों में एक उच्च-गंभीरता वाले एचईएपी बफर ओवरफ्लो को संबोधित किया। अंत में, Google ने गेमपैड एपीआई में अनुपयुक्त कार्यान्वयन के साथ एक मध्यम-गंभीर समस्या का समाधान किया।

और इस तरह यह शुरू होता है (And So It Begins)

यह क्रोम का साल का पहला शून्य दिन है, और निश्चित रूप से और भी बहुत कुछ होगा। लेकिन कम से कम हमने इसे नए-ईश वर्ष में 2021 में प्रबंधित किए गए 10 दिनों से अधिक बना दिया है, जब हिट करने वाला पहला बग 4 फरवरी को आया था।

पिछले साल इन 16 क्रोम शून्य दिनों में से कुल डिलीवर हुए:

-CVE-2021-21148 - फरवरी 4, इसके V8 ओपन-सोर्स वेब इंजन में एक भेद्यता।

-CVE-2021-21166 - 2 मार्च, Google Chrome के ऑडियो घटक में एक दोष।

-CVE-2021-21193 - मार्च 12, ब्लिंक में उपयोग-बाद-मुक्त दोष, क्रोम के लिए ब्राउज़र इंजन जिसे क्रोमियम प्रोजेक्ट के हिस्से के रूप में विकसित किया गया था।

-CVE-2021-21220 - 13 अप्रैल, रिमोट-कोड निष्पादन समस्या।

-CVE-2021-21224 - 20 अप्रैल, Google क्रोम में V8 में टाइप कन्फ्यूजन के साथ एक समस्या जो एक दूरस्थ हमलावर को एक तैयार किए गए HTML पृष्ठ के माध्यम से सैंडबॉक्स के अंदर मनमाने कोड को निष्पादित करने की अनुमति दे सकती थी।

-CVE-2021-30551 - 9 जून, Google के V8 ओपन-सोर्स जावास्क्रिप्ट और WebAssembly इंजन के भीतर एक प्रकार का भ्रम बग।

-CVE-2021-30554 - 17 जून, एक उपयोग-बाद-मुक्त बग।

-CVE-2021-30563 - 15 जुलाई, V8 में कंफ्यूजन टाइप करें।

सीवीई-2021-30632 और सीवीई-2021-30633 - 13 सितंबर, वी8 में एक आउट-ऑफ-बाउंड राइट और इंडेक्सड डीबी एपीआई में एक उपयोग-बाद-मुक्त बग, क्रमशः।

-CVE-2021-37973 - 24 सितंबर, पोर्टल में उपयोग के बाद मुक्त दोष।

-CVE-2021-37976 और CVE-2021-37975 - 30 सितंबर, कोर में एक सूचना रिसाव और V8 में क्रमशः उपयोग के बाद मुक्त बग।

-CVE-2021-38000 और सीवीई-2021-38003-अक्टूबर 28, एंड्रॉइड पर गूगल क्रोम में इंटेंट में अविश्वसनीय इनपुट के अपर्याप्त सत्यापन के साथ एक मुद्दा, और वी 8 में एक अनुपयुक्त कार्यान्वयन।

-CVE-2021-4102 - 13 दिसंबर, V8 में मुफ्त के बाद उपयोग।