經銷商專區｜登入
〔最新消息〕2021-02-08
發現Chrome瀏覽器零日漏洞—請馬上更新程式!
在這種情況下，低調宣佈是可以理解的，因為該更新程式修復了一個漏洞，而網路駭客顯然已經在濫用這個漏洞。
Stable Channel Update for Desktop
Thursday, February 4, 2021
CVE-2021-21148: Heap buffer overflow in V8.
Reported by Mattias Buelens on 2021-01-24
Google is aware of reports that an exploit
for CVE-2021-21148 exists in the wild.
|
"exploit exists in the wild "這句話是 "駭客在我們之前發現了這個漏洞 並且已經在現實生活中使用它進行攻擊 "的簡寫。
這種情況也被稱為 "零日"，或者你可能看到寫的是 "0日"，因為在過去的零日，即使是最勤奮的用戶也能比駭客先打好更新程式。
簡單來說，漏洞這個詞指的是任何允許攻擊者主動濫用軟體漏洞，從而進行某種未經授權的活動的技巧。
遠端代碼執行
幸運的是，即使所有的緩衝區溢位和類似的bug都可以被認為是漏洞，但並不是所有的漏洞都能被可靠地利用。
例如，許多（如果不是大多數）緩衝區溢位可能會導致程式意外退出並出現錯誤，甚至在沒有適當錯誤資訊的情況下崩潰，但沒有比這更危險的了。
但有時，緩衝區溢位不僅可以被濫用，使受影響的程式崩潰，而且還可以在作業系統或任何其他安全軟體能夠檢測和控制崩潰之前接管其執行流程。
這就是所謂的遠端代碼執行，或稱RCE，而針對瀏覽器的RCE漏洞如今在網路地下世界中價值不菲，因為它們為網路犯罪提供了一個理想的管道。
這是因為瀏覽器大部分時間都在下載、解碼、渲染和顯示互聯網上任何地方的未知和不信任的檔。
掌握可靠的瀏覽器RCE漏洞的不法分子，例如，可以通過故意誘殺的影像檔或故意偽造的HTML文檔來觸發RCE漏洞，他們可以通過一種強大而危險的方式將未經授權的程式碼注入您的瀏覽器中。
通過簡單地引誘你到一個包含適當誘殺的漏洞檔的網頁，駭客可以欺騙你的瀏覽器下載、處理和扼殺他們的漏洞。
這種攻擊，你有時會聽到被稱為 "偷渡"，因為它可以通過瀏覽惡意網頁來觸發，繞過任何 "你確定 "的警告或快顯視窗，否則會提醒你注意惡意活動。
一旦駭客走到這一步，你就必須假設他們可以進行各種額外的攻擊，例如讀取私人瀏覽器資料，包括驗證cookies；窺探你的瀏覽活動；修改其他網站提供的網頁；以及植入惡意軟體，即使在你退出被顛覆的瀏覽器進程後也會繼續運行。
在這種情況下，我們假設該漏洞是使用誘殺的JavaScript檔觸發的，因為V8中存在緩衝區溢位錯誤，這是Chrome和基於Chromium的瀏覽器使用的JavaScript處理代碼的名稱。
該怎麼做呢？
要檢查你的版本，請點擊右上角的三行圖示（"自訂與管理"）。對於Chrome瀏覽器，請前往幫助 > 關於Chrome。對於Chromium瀏覽器，只需按一下 "關於Chromium"。
(在任何一種瀏覽器中，您都可以在位址欄中輸入特殊的 URL chrome://settings/help)。
你要找的版本是88.0.4324.150或以上。
如果你不是最新版本，請在 Windows 或 Mac 上使用更新 Google Chrome 選項來強制更新。
如果你在 Linux 上，而你的 Chrome 或 Chromium 版本是由你的發行版本製造商提供的，請檢查你的發行版本以瞭解更新詳情。
