【MetaMask等至少10款浏览器插件钱包存在安全漏洞，部分钱包已修复漏洞】

【MetaMask等至少10款浏览器插件钱包存在安全漏洞，部分钱包已修复漏洞】 6月16日消息，包括 MetaMask 和 Phantom 在内的至少 10 款浏览器插件钱包由于 Javascript 语言中的某个问题导致可能存在暴露登录信息的可能性，该漏洞会使得助记词在内存中存储一段时间从而被攻击者利用。目前 MetaMask 及 Phantom 已修复了该漏洞。 MetaMask 表示，只有全部满足硬盘未加密、助记词被导入至不信任的设备或电脑被黑以及在导入时使用了「显示助记词」功能这三个条件才有被黑的可能性。Halborn 因披露该漏洞而获得了 5 万美元的奖金，并建议用户切换到新的钱包地址。Halborn 的联合创始人 Steve Walbroehl 表示，该漏洞已存在了很长时间，出于谨慎考虑最好更换钱包地址。

安全公司披露Chrome浏览器高危漏洞

安全公司披露Chrome浏览器高危漏洞 1 月 15 日消息，网络安全公司 Imperva Red 近日披露了存在于 Chrome / Chromium 浏览器上的漏洞细节，并警告称全球超过 25 亿用户的数据面临安全威胁。 该公司表示，这个追踪编号为 CVE-2022-3656 的漏洞可以窃取包括加密钱包、云提供商凭证等敏感数据。在其博文中写道：“该漏洞是通过审查浏览器与文件系统交互的方式发现的，特别是寻找与浏览器处理符号链接的方式相关的常见漏洞”。 Imperva Red 将符号链接（symlink）定义为一种指向另一个文件或目录的文件类型。它允许操作系统将链接的文件或目录视为位于符号链接的位置。Imperva Red 表示符号链接可用于创建快捷方式、重定向文件路径或以更灵活的方式组织文件。 在 Google Chrome 的案例中，问题源于浏览器在处理文件和目录时与符号链接交互的方式。具体来说，浏览器没有正确检查符号链接是否指向一个不打算访问的位置，这允许窃取敏感文件。该公司在解释该漏洞如何影响谷歌浏览器时表示，攻击者可以创建一个提供新加密钱包服务的虚假网站。然后，该网站可以通过要求用户下载“恢复”密钥来诱骗用户创建新钱包。 博文中写道：“这些密钥实际上是一个 zip 文件，其中包含指向用户计算机上云提供商凭证等敏感文件或文件夹的符号链接。当用户解压缩并将‘恢复’密钥上传回网站后，攻击者将获得对敏感文件的访问权限”。Imperva Red 表示，它已将该漏洞通知谷歌，该问题已在 Chrome 108 中得到彻底解决。建议用户始终保持其软件处于最新状态，以防范此类漏洞。 src: 果核剥壳

【谷歌Chrome浏览器发布针对零日漏洞的修复版本】

【谷歌Chrome浏览器发布针对零日漏洞的修复版本】 6月7日消息，在6月5日的Chrome博客公告中，谷歌已确认其Chrome网络浏览器中的零日漏洞正在被积极利用，并发布了紧急安全更新作为回应。谷歌称，桌面应用程序已经更新到Mac和Linux的114.0.5735.106版本以及Windows的114.0.5735.110的版本，所有这些都将“在未来几天/几周内推出”。 公告称此次更新中包含两个安全修复程序，但实际上只有一个被详细说明：CVE-2023-3079。CVE-2023-3079是V8 JavaScript引擎中的类型混淆漏洞，且是谷歌Chrome 2023年的第三个零日漏洞。类型混淆漏洞会带来重大风险，使攻击者能够利用内存对象处理中的弱点在目标机器上执行任意代码，强烈建议用户及时更新浏览器以减轻潜在风险。

Chrome 发现严重漏洞，可导致浏览器崩溃可破坏用户数据

Chrome 发现严重漏洞，可导致浏览器崩溃可破坏用户数据 2月中旬，「零日漏洞」在Chrome 被安全研究人员发现，「零日漏洞」 (zero-day)又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞，这种攻击往往具有很大的突发性与破坏性。强大如Google 也遭到这一「待遇」。 据 Google 相关证据表明，在Chrome 已经发现黑客利用该漏洞发起攻击一事，最重要的是在Chrome 浏览器Animation 代码中发现的「use after free」漏洞。该漏洞可以导致浏览器崩溃，也可以配合其他行动破坏用户数据，植入并启动恶意代码造成各种混乱。这段时间谨慎利用Chrome 里面种种程式，如果要使用，那么一定要彻底地检测它们，如果不这样做，可能会损失惨重。 让人安心点的就是， Chrome 浏览器已经准备好更新，以修补这个最为严重的高危漏洞，之后的时间里将修补另外的10个漏洞，为安全起见，请即时更新至Chrome v98.0.4758 以上。 Qooah

今年第 8 个零日漏洞，谷歌发布 Chrome 浏览器 125 紧急更新

今年第 8 个零日漏洞，谷歌发布 Chrome 浏览器 125 紧急更新 该漏洞由 Google 的 Clément Lecigne 在内部发现，追踪编号为 CVE-2024-5274，存在于负责执行 JavaScript 代码的 JavaScript 引擎 V8 中，是非常严重的“类型混乱”漏洞。 ======== NodeJS:6

微软和Google发布浏览器紧急安全更新 应对风险等级为4级高危漏洞

微软和Google发布浏览器紧急安全更新 应对风险等级为4级高危漏洞 如果你的浏览器提示你升级，请一定不要拒绝。 微软和Google已经发布了对其基于Chromium的浏览器中的浏览器漏洞的紧急修复，根据BSI的评估，该漏洞可以通过访问网页或点击链接就可以被利用。 Google浏览器和基于微软Chrome的Edge浏览器的几个漏洞已经被披露。攻击者可以利用这一点，目前还没有发现被外部利用来攻击的迹象，但事实上要利用它，只需调用一个恶意设计的网站或点击一个特别设计过的页面链接。这些漏洞被判定为4级风险，意味着它们影响大，容易被利用。 CnBeta 频道