Phiên bản Chrome 99.0.4844.84 cho người dùng Windows, Mac và Linux của Google vá lỗ hổng zero-day nghiêm trọng đang bị khai thác trong thực tế. Google phát hành phiên bản này qua kênh Stable Desktop trên toàn cầu và có thể mất vài tuần để đến tay tất cả mọi người.
Lỗ hổng CVE-2022-1096 khai thác điểm yếu trong công cụ JavaScript 8 của Chrome. Được một nhà nghiên cứu bảo mật ẩn danh phát hiện và báo cáo, chi tiết về lỗ hổng được giữ bí mật cho tới khi “phần lớn người dùng cập nhật bản vá”.
Google rất kín miệng về lỗ hổng và chỉ thông báo phát hiện các cuộc tấn công khai thác nó. Công ty nhấn mạnh người dùng vẫn có thể bị tấn công ngay cả khi đã cập nhật trình duyệt nếu lỗ hổng này vẫn tồn tại trong thư viện các bên thứ ba của những dự án khác.
Ngoài việc lỗ hổng khiến trình duyệt bị sập vì đọc và ghi bộ nhớ ngoài giới hạn bộ đệm, kẻ tấn công có thể triển khai mã nhị phân. Theo Bleeping Computer, đây là lỗ hổng zero-day thứ hai trong năm 2022 mà Google đã xử lý. Lỗ hổng đầu tiên (CVE-2022-0609) được vá tháng trước. Nó được hai nhóm tin tặc khác nhau sử dụng trong các chiến dịch phát tán mã độc bằng email lừa đảo (phishing), thông qua những lời mời tuyển dụng giả mạo và website độc hại.
