Экстренное обновление Google Chrome: исправлена шестая уязвимость «нулевого дня» в 2023 году

Уязвимость Google Chrome устранена на канале Stable Desktop. Патч доступен для пользователей по всему миру в версиях Chrome 119.0.6045.199/.200 для Windows и Chrome 119.0.6045.199 для Linux и Mac.

Скачать Google Chrome

В бюллетени по безопасности, посвященном уязвимости CVE-2023-6345, компания сообщает:

Google известно о случаях эксплуатации CVE-2023-6345 в реальных атаках.Хотя в бюллетени указано, что развертывание обновления может занять несколько дней, для большинства пользователей оно стало доступно сразу.

Chrome автоматически проверит наличие новых обновлений и установит их после следующего запуска.

Уязвимость могла использоваться в шпионских программах

Данная уязвимость высокого риска связана с целочисленным переполнением в библиотеке 2D-графики с открытым исходным кодом Skia. Эксплуатация уязвимости создает различные риски, начиная от сбоев и заканчивая выполнением произвольного кода (Skia также используется в качестве графического движка в других продуктах, таких как ChromeOS, Android и Flutter).

Об ошибке стало известно в пятницу, 24 ноября. О ней сообщили Бенуа Севенс (Benoit Sevens) и Клеман Лесинь (Clement Lecigne), исследователи безопасности из группы анализа угроз Google (TAG).

TAG обнаруживает угрозы «нулевого дня», которые часто используются проправительственными хакерскими группировками в шпионских кампаниях, нацеленных на журналистов и оппозиционных политиков.

Подробная информация о уязвимости не будет раскрыта, пока большинство пользователей не обновят свои устройства. Если уязвимость затронет стороннее ПО, то секретность будет соблюдаться дольше.

В Google отметили:

Доступ к детальным сведениям об ошибке и ссылкам может быть ограничен до тех пор, пока большинство пользователей не получат обновление с исправлением. Мы также сохраним ограничения, если ошибка существует в сторонней библиотеке, от которой аналогичным образом зависят другие проекты, но еще не исправлены.

Политика утаивания информация снижает вероятность того, что злоумышленники разработают свои собственные эксплойты CVE-2023-6345, воспользовавшись технической информацией об уязвимости.

В сентябре Google обнаружила еще две уязвимости «нулевого дня» (CVE-2023-5217 и CVE-2023-4863), используемые в атаках. Это были четвертая и пятая по счету уязвимости «нулевого дня» в этом году.