按 Enter 到主內容區
:::

TWCERT/CC台灣電腦網路危機處理暨協調中心

:::

Google 推出新版 Chrome,解決已遭大規模利用的 0-day 資安漏洞

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2020-10-22
  • 點閱次數:4228
Google 推出新版 Chrome,解決已遭大規模利用的 0-day 資安漏洞 TWCERT/CC

Google 最近推出最新版本的 Google Chrome 86.0.4240.111,修補多個資安漏洞,其中包括一個已被廣泛用於駭侵攻擊的記憶體崩潰錯誤。

這個漏洞的編號為 CVE-2020-15999,其 CVSS 危險程度評分分數高達 7.7,屬於「嚴重」(critical) 等級。漏洞存在於 Google Chrome 用以處理 FreeType 字體的程式庫;駭侵者可利用特製的 TTF 字型檔案,誘發記憶體崩潰,藉以遠端執行任意程式碼。

據資安廠商 Cybersecurity Help 指出,這個 CVE-2020-15999 已遭駭侵者大規模使用;未及更新 Google Chrome 的用戶,有可能因為這個漏洞而遭到攻擊,導致整個電腦系統被駭侵者挾持。

Google 內部的資安研究團隊 Project Zero 率先發現這個 0-day 漏洞,雖然漏洞相關細節在此前並未公開,但顯然已遭駭侵者掌握,用以發動攻擊。

資安專家也指出,由於修補此一漏洞的程式碼可在 FreeType 的開源專案中檢視,因此駭侵者也很可能在未來數周之內利用逆向工程,找到觸發漏洞的方法,並加入其駭侵工具之中。

所有 Google Chrome 各平台與各版本用戶,皆應立即升級至 86.0.4240.111 或更新版本,以避免遭駭侵者透過此漏洞發動攻擊。

  • CVE編號:CVE-2020-15999
  • 影響產品/版本:Google Chorme 各平台 86.0.4240.111 先前版本
  • 解決方案:升級至 Google Chorme 86.0.4240.111 及之後版本
回頁首