Google сообщает о втором "нулевом дне" в Chrome, продемонстрированном на Pwn2Own 2024.

Google обратилась к двум уязвимостям нулевого дня в веб-браузере Chrome, которые были продемонстрированы во время хакерского соревнования Pwn2Own Vancouver 2024. Google в этой неделе устранила несколько уязвимостей в веб-браузере Chrome, включая две уязвимости нулевого дня с номерами CVE-2024-2886 и CVE-2024-2887, которые были продемонстрированы во время соревнования Pwn2Own Vancouver 2024.

Уязвимость большой степени серьезности CVE-2024-2886 - это проблема использования после освобождения памяти, находящаяся в WebCodecs. Ошибку продемонстрировал Сеунгхюн Ли (@0x10n) из Hacking Lab KAIST во время Pwn2Own 2024.

Уязвимость большой степени серьезности CVE-2024-2887 - это проблема сбоя типа, находящаяся в WebAssembly. Уязвимость была продемонстрирована Манфредом Полом во время Pwn2Own 2024.

Google также устранила следующие уязвимости:

• [$10000][327807820] Критическая уязвимость CVE-2024-2883: использование после освобождения памяти в ANGLE. Сообщено Кэссиди Ким (@cassidy6564) 3 марта 2024
• [TBD][328958020] Высокая уязвимость CVE-2024-2885: использование после освобождения памяти в Dawn.

"Канал Stable обновлен до версии 123.0.6312.86/.87 для Windows и Mac и 123.0.6312.86 для Linux, которые распространяются в течение следующих дней/недель. Полный список изменений в этой сборке доступен в Журнале", - говорится в оповещении, опубликованном гигантом IT.

IT-гигант не разгласил, были ли уязвимости активно использованы вне контроля.

На прошлой неделе Mozilla устранила две уязвимости нулевого дня в веб-браузере Firefox, использованные во время соревнования Pwn2Own Vancouver 2024. Исследователь Манфред Пол (@_manfp), победитель соревнования, использовал две уязвимости со следующими номерами: CVE-2024-29944 и CVE-2024-29943.

На второй день Пол продемонстрировал обход песочницы в Mozilla Firefox, используя OOB Write для выполнения удаленного кода и уязвимость "экспонированной опасной функции". За этот хак он получил 100 000 долларов и 10 баллов Master of Pwn.

Ниже приведены описания обеих проблем в соответствии с оповещением:

• уязвимость CVE-2024-29944 затрагивает только версию Desktop Firefox, мобильные версии Firefox не затрагиваются;
• CVE-2024-29943: злоумышленник смог выполнить чтение или запись элемента JavaScript за пределами границы, обманув механизм прове\r.

Make me an answer in this format: ' {text}'