Các hoạt động khai thác Zero-day đang đứng đầu trong các rủi ro bảo mật trực tuyến, vì những hoạt động khai thác này làm lộ dữ liệu của hàng triệu người dùng trực tuyến và bị khai thác tích cực trong các cuộc tấn công mạng. Google gần đây đã vá lỗi khai thác zero-day thứ 7 trong Google Chrome và đang kêu gọi người dùng cập nhật trình duyệt của họ ngay lập tức.
Lỗ hổng bảo mật, được xác định là CVE-2022-3723, liên quan đến một bộ sưu tập các thư viện back-end có tên Mojo. Mọi trình duyệt dựa trên Chromium đều sử dụng các thư viện này, bao gồm Opera, Brave và Microsoft Edge. Google đã hành động nhanh chóng trong việc giải quyết lỗ hổng nghiêm trọng này của Google Chrome, phát hành bản cập nhật khẩn cấp trong vòng 48 giờ kể từ khi báo cáo. Bản cập nhật khắc phục sự cố này sẽ được tung ra cho Google Chrome phiên bản 105.0.5195.102. Google sẽ giữ lại thông tin chính xác về bản sửa lỗi bảo mật cho đến khi hầu hết người dùng cập nhật trình duyệt của họ lên phiên bản mới nhất.
Khai thác zero-day là gì?
Khai thác zero-day là một cuộc tấn công mạng nhắm vào một lỗ hổng phần mềm mà một nhà cung cấp phần mềm như Google chưa biết. Những kẻ tấn công xác định một lỗ hổng phần mềm và tạo ra một khai thác để sử dụng nó cho một cuộc tấn công. Các cuộc tấn công có khả năng thành công vì phòng thủ không đúng vị trí. Điều này làm cho các cuộc tấn công zero-day trở thành một mối đe dọa bảo mật nghiêm trọng. Mục tiêu phổ biến nhất của các cuộc tấn công này là các trình duyệt web như Chrome.
CVE-2022-3723 là gì?
Một nhà nghiên cứu bảo mật ẩn danh đã gửi lỗ hổng này cho Google. Các nhà nghiên cứu bảo mật của Avast sau đó đã xác nhận báo cáo vào ngày 25 tháng 10. CVE-2022-3723 là một vấn đề’nhầm lẫn kiểu’với công cụ JavaScript V8 của Chrome.
Loại lỗ hổng này có nguy cơ cao đối với dữ liệu của người dùng, vì tin tặc có thể sử dụng lỗi’nhầm lẫn kiểu’để gây nhầm lẫn hệ thống và trả về lỗi truy cập bộ nhớ ngoài giới hạn. Do đó, cho phép các chương trình đáng ngờ truy cập vào các phần bộ nhớ của thiết bị mà trước đây không thể thực hiện được. Điều này có thể dẫn đến việc họ có quyền kiểm soát hệ thống của người dùng và truy cập dữ liệu ứng dụng nhạy cảm.
Đây là lỗ hổng zero-day thứ bảy được phát hiện và vá trong năm nay dưới dạng được báo cáo bởi Bleeping Computer. Bản vá cuối cùng được công bố đến vào tháng Bảy. Cách khai thác CVE-2022-2294 đang được sử dụng để theo dõi các nhà báo trên khắp thế giới.
Cách cập nhật Chrome
Để giải quyết vấn đề khai thác zero-day, Google khuyến nghị chúng tôi cập nhật Chrome ngay lập tức. Cập nhật Chrome trên Mac hay Windows đều giống nhau. Trên máy tính để bàn của họ, người dùng có thể cập nhật Chrome bằng cách đi tới Cài đặt, sau đó là Giới thiệu về Google Chrome và cài đặt bản cập nhật mới nhất.
Trên Android, người dùng có thể truy cập Cửa hàng Google Play, đi tới Quản lý ứng dụng và Thiết bị và kiểm tra các bản cập nhật cho Google Chrome. Tương tự, trên iOS, người dùng có thể mở App Store, nhấn vào Hồ sơ của họ, cuộn xuống”Bản cập nhật có sẵn”và tìm kiếm Google Chrome.
