Google修補2個已發生攻擊的Chrome零時差漏洞

在蘋果及微軟相繼釋出安全更新修補旗下軟體漏洞的同時，Google也修補了2個已經發生開採活動的Chrome漏洞。

Google是在周一針對Windows、Mac及Linux釋出穩定版Chrome 93.0.4577.82，以解決11項漏洞。其中2個漏洞包括CVE-2021-30632 和CVE-2021-30633，Google警告已經有攻擊程式在網路上流傳。

兩個零時差漏洞，CVE-2021-30632 和CVE-2021-30633通報身份皆被列為「匿名」。其中CVE-2021-30632是位於V8 JavaScript引擎中的越界寫入（out of bounds write）漏洞。CVE-2021-30633則位於Indexed DB API的使用已釋放記憶體（use after free）漏洞。

Google並未說明兩個漏洞或攻擊活動的細節。不過ThreatPost報導，越界寫入漏洞可能造成資料毁損、程式當掉或是程式碼執行。而使用已釋放記憶體漏洞的災情，可以從資料毁損到任意程式碼執行不等。

此外，V8 JavaScript引擎同時也包含在Chromium-based瀏覽器，因此這項漏洞也可能影響Edge、Brave、Opera等其他瀏覽器。

其他漏洞皆屬於高風險漏洞，分別影響Chrome中的Blink引擎、ANGLE、Selection API及存取許可Permissions元件。

Google表示，所有桌機平臺的新版Chrome，將在未來幾天到幾周內部署給用戶。

安全專家也警告，一旦漏洞揭露，攻擊活動也會接踵而來，因此用戶最好儘速更新到最新版本以免受駭。