今年第 8 个零日漏洞，谷歌发布 Chrome 浏览器 125 紧急更新

今年第 8 个零日漏洞，谷歌发布 Chrome 浏览器 125 紧急更新 该漏洞由 Google 的 Clément Lecigne 在内部发现，追踪编号为 CVE-2024-5274，存在于负责执行 JavaScript 代码的 JavaScript 引擎 V8 中，是非常严重的“类型混乱”漏洞。 ======== NodeJS:6

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞 该公司本周发布的紧急更新影响到其Chrome浏览器的近30亿用户，以及那些使用其他基于Chromium的浏览器，如微软Edge、Brave和Vivaldi。 这是谷歌今年不得不为Chrome浏览器发布的第三个此类紧急更新。 其中一个缺陷是一个被追踪为CVE-2022-1364的类型混淆漏洞，这是一个高严重性的零日漏洞，正被攻击者积极滥用。在类型混淆漏洞中，程序将使用一种类型分配资源，如指针或对象，但随后将使用另一种不兼容的类型访问该资源。在某些语言中，如C和C++，该漏洞会导致越界内存访问。 这种不兼容会导致浏览器崩溃或引发逻辑错误。它有可能被利用来执行任意代码。 theregister

谷歌 Chrome 浏览器获推 124.0.6367.201/202 更新，修复界面组件 RAM 高危漏洞 CVE-2024-4

谷歌 Chrome 浏览器获推 124.0.6367.201/202 更新，修复界面组件 RAM 高危漏洞 CVE-2024-4671 谷歌披露，他们在 5 月 7 日接收了匿名人士报告的相关漏洞，随即展开修复工作，这项 CVE-2024-4671 漏洞 CVSS 评分为 8.8，实际上是一个常见的“Use-after-free”类 RAM 错误，主要影响 Chrome 浏览器界面组件，允许黑客远程执行代码。

谷歌 Chrome 126 浏览器稳定版发布：修复 21 项漏洞，奖励专家超 16 万美元

谷歌 Chrome 126 浏览器稳定版发布：修复 21 项漏洞，奖励专家超 16 万美元 谷歌 Chrome 126 浏览器更新共计修复 21 项漏洞，其中 18 项为外部研究人员报告。 在外部人员报告的漏洞中，9 个被评为“高严重性”，2 个是 Dawn 中的 use-after-free 问题，4 个 V8 引擎中的类型混乱，此外还有 Dawn 和 DevTools 中的不当实现，以及 Tab Groups 中的堆缓冲区溢出。

重要: 近日，谷歌发现 Chrome 浏览器存在一个严重的安全漏洞，该漏洞已经被黑客利用，可能导致用户的数据和电脑受到损害。为了

重要: 近日，谷歌发现 Chrome 浏览器存在一个严重的安全漏洞，该漏洞已经被黑客利用，可能导致用户的数据和电脑受到损害。为了解决这个问题，谷歌紧急推出了一个安全更新，并建议所有的 Chrome 用户尽快安装。 这个漏洞被命名为 CVE-2023-2033，是一个类型混淆漏洞，出现在 Chrome 浏览器使用的 V8 JavaScript 引擎中。简单来说，类型混淆漏洞是一种允许使用错误的类型访问内存的 Bug，从而导致越界读写内存。这个漏洞的危险之处在于，黑客可以制作一个恶意的 HTML 页面，利用堆内存的损坏来执行任意代码。 根据谷歌的威胁分析组（TAG）的报告，这个漏洞已经被黑客利用。虽然目前还没有公布这个漏洞的具体影响范围和危害程度，但谷歌将其定为“高”级别的问题，并在周五发布了一个公告，提醒用户注意。 来源:

安全公司披露Chrome浏览器高危漏洞

安全公司披露Chrome浏览器高危漏洞 1 月 15 日消息，网络安全公司 Imperva Red 近日披露了存在于 Chrome / Chromium 浏览器上的漏洞细节，并警告称全球超过 25 亿用户的数据面临安全威胁。 该公司表示，这个追踪编号为 CVE-2022-3656 的漏洞可以窃取包括加密钱包、云提供商凭证等敏感数据。在其博文中写道：“该漏洞是通过审查浏览器与文件系统交互的方式发现的，特别是寻找与浏览器处理符号链接的方式相关的常见漏洞”。 Imperva Red 将符号链接（symlink）定义为一种指向另一个文件或目录的文件类型。它允许操作系统将链接的文件或目录视为位于符号链接的位置。Imperva Red 表示符号链接可用于创建快捷方式、重定向文件路径或以更灵活的方式组织文件。 在 Google Chrome 的案例中，问题源于浏览器在处理文件和目录时与符号链接交互的方式。具体来说，浏览器没有正确检查符号链接是否指向一个不打算访问的位置，这允许窃取敏感文件。该公司在解释该漏洞如何影响谷歌浏览器时表示，攻击者可以创建一个提供新加密钱包服务的虚假网站。然后，该网站可以通过要求用户下载“恢复”密钥来诱骗用户创建新钱包。 博文中写道：“这些密钥实际上是一个 zip 文件，其中包含指向用户计算机上云提供商凭证等敏感文件或文件夹的符号链接。当用户解压缩并将‘恢复’密钥上传回网站后，攻击者将获得对敏感文件的访问权限”。Imperva Red 表示，它已将该漏洞通知谷歌，该问题已在 Chrome 108 中得到彻底解决。建议用户始终保持其软件处于最新状态，以防范此类漏洞。 src: 果核剥壳