Google vá lỗ hổng zero-day thứ mười trong năm 2024

Thông tin này được công bố trong bản cập nhật cho một bài đăng trên blog của công ty, tiết lộ rằng họ đã khắc phục một lỗ hổng zero-day nghiêm trọng khác (CVE-2024-7971) gây ra bởi vấn đề nhầm lẫn loại (type confusion) trong V8.

Lỗ hổng định danh là CVE-2024-7965 và được báo cáo bởi một nhà nghiên cứu bảo mật được biết đến với cái tên TheDog. Lỗ hổng liên quan đến vấn đề triển khai không phù hợp trong công cụ JavaScript V8 của Google Chrome, có thể cho phép kẻ tấn công từ xa khai thác lỗ hổng bộ nhớ heap thông qua một trang HTML độc hại.

Thông tin này được công bố trong bản cập nhật cho một bài đăng trên blog của công ty, tiết lộ rằng họ đã khắc phục một lỗ hổng zero-day nghiêm trọng khác (CVE-2024-7971) gây ra bởi vần đề nhầm lẫn loại (type confusion) trong V8.

Google đã khắc phục cả hai lỗ hổng zero-day trong Chrome phiên bản 128.0.6613.84/.85 cho hệ thống Windows/macOS và phiên bản 128.0.6613.84 cho người dùng Linux, đã triển khai cho tất cả người dùng trong kênh Stable Desktop.

Chrome sẽ tự động cập nhật khi có bản vá bảo mật, tuy nhiên, người dùng cũng có thể đẩy nhanh quá trình này và áp dụng các bản cập nhật theo cách thủ công bằng cách vào menu Chrome > Trợ giúp > Giới thiệu về Google Chrome, để quá trình cập nhật hoàn tất và nhấp vào nút 'Khởi chạy lại' để cài đặt.

Mặc dù Google đã xác nhận rằng các lỗ hổng CVE-2024-7971 và CVE-2024-7965 đã được khai thác trong thực tế, nhưng công ty vẫn chưa chia sẻ thêm thông tin cụ thể về các cuộc tấn công này.

Google cho biết: “Quyền truy cập vào thông tin chi tiết về lỗ hổng và liên kết có thể bị hạn chế cho đến khi phần lớn người dùng được cập nhật bản sửa lỗi. Chúng tôi cũng sẽ duy trì các hạn chế nếu lỗ hổng tồn tại trong thư viện của bên thứ ba mà các dự án khác cũng phụ thuộc vào nhưng vẫn chưa sửa”.

Kể từ đầu năm, Google đã vá tám lỗ hổng zero-day khác được gắn thẻ là bị khai thác trong các cuộc tấn công hoặc trong cuộc thi hack Pwn2Own.

Bá Phúc