谷歌发布2023年第8个零日补丁

谷歌发布了一个紧急更新，以解决最近在Chrome浏览器中发现的一个漏洞，该漏洞一直在被积极利用，这是2023年发现的第8个零日漏洞。

谷歌表示，该漏洞被识别为CVE-2023-7024，是Chrome浏览器的WebRTC模块中的一个重大堆缓冲区溢出漏洞，允许远程代码执行(RCE)。

WebRTC是一个通过API实现实时通信的开源倡议，在领先的浏览器制造商中享有广泛的支持。

Menlo security的首席安全架构师Lionel Litty解释说：“利用的风险是在渲染过程中实现RCE的能力。这意味着恶意行为者可以在JavaScript沙箱之外的用户机器上运行任意二进制代码。”

然而，真正的破坏依赖于将漏洞作为攻击链的第一步。它需要与Chrome本身或操作系统中的沙箱逃逸漏洞相结合，才能真正危险。

Litty说:“由于Chrome的多进程架构，这些代码仍然是沙盒式的，所以只有这个漏洞，攻击者就不能访问用户的文件或开始部署恶意软件，当受影响的标签被关闭时，他们在机器上的立脚点就消失了。”

他指出，Chrome的网站隔离功能通常会保护来自其他网站的数据，因此攻击者无法针对受害者的银行信息，尽管他补充说，这里有一些微妙的警告。例如，如果目标源和恶意源使用相同的站点，这将使目标源暴露给恶意源。

Litty解释说:“虽然访问麦克风或摄像头需要用户同意，但访问WebRTC本身并不需要。这个漏洞有可能被任何网站攻击，除了访问恶意页面外，不需要任何用户输入，所以从这个角度来看，这个威胁是重大的。”

Qualys威胁研究部门的首席威胁情报分析师奥布里·佩林指出，该漏洞的影响范围超出了谷歌浏览器。

他说:“对Chrome的开发与它的无处不在有关，甚至微软的Edge也在使用Chrome。因此，利用Chrome也可能瞄准Edge用户，并让坏人更广泛地接触到。”

需要注意的是，使用Chrome的Android移动设备也有自己的风险。在某些情况下，他们将多个站点放在同一个渲染进程中，特别是在没有很多RAM的设备上。

各大浏览器厂商最近都报告了越来越多的零日漏洞，自8月份以来，仅谷歌就报告了5个。苹果、微软和火狐等公司都披露了自己的浏览器存在一系列严重漏洞，包括一些零日漏洞。