Łatajcie Chrome. Exploit 0day panoszy się po Internecie

Pierwsza część tytułu opisuje konkluzje po przeczytaniu krótkiej notki od Google (podatność jest załatana w wersji 99.0.4844.84 przeglądarki Chrome).

Druga część tytułu jest nieprawdziwa. No bo przecież jeśli producent załatał podatność i udostępnił łatkę, to nie możemy mówić o 0-day :-) 1-day, n-day – już lepiej.

Zawiedzeni? Moment – jednak pewna korekta – Google dodaje:

Uwaga: Dostęp do szczegółów błędu może być ograniczony, dopóki większość użytkowników nie zaktualizuje się. Zachowamy również ograniczenia, jeśli błąd istnieje w zewnętrznej bibliotece, od której w podobny sposób zależą inne projekty, ale nie zostały jeszcze naprawione.

Note: Access to bug details and links may be kept restricted until a majority of users are updated with a fix. We will also retain restrictions if the bug exists in a third party library that other projects similarly depend on, but haven’t yet fixed.

Wynika z tego, że podatność może być cały czas 0-dayem w systemach, które korzystają z tego samego podatnego kodu co Chrome.

Powagi całej sytuacji dodaje dość szybki czas w którym załatano lukę (2 dni od zgłoszenia), stosowna klasyfikacja: High: CVE-2022-1096: Type Confusion in V8. Reported by anonymous on 2022-03-23, a również informacja że exploit „panoszy się po Internecie” (AKA: exploit for CVE-2022-1096 exists in the wild).

~Michał Sajdak