近日,Google公司发表公告,敦促广大使用Windows、Mac OS以及Linux操作系统的用户,要尽快更新自己终端上的Chrome浏览器版本,以便于消除由5个漏洞带来的安全隐患。在已曝出的5个漏洞中,其中有2个威胁性最高。周三时候,Google发布了Chrome浏览器的最新版(50.0.2661.102),并提醒用户需对漏洞给予重视。 Chrome中的这5个漏洞是由来自谷歌公司Google's Chromium Project项目团队中,bug bounty program(漏洞猎捕团队)的4位研发人员(Google公司将他们称为“漏洞猎手”)发现的。在这个漏洞猎手队伍中,有一位来自波兰的,名叫Mariusz Mlynski的安全研究员,他因为找到了Chrome浏览器中存在的两个关键漏洞,获得了Google公司15500美元的奖励,从而引起了人们的关注。 Chrome漏洞的其中之一就是Mlynski发现的CVE-2016-1667。Mlynski将其解释为DOM(文档对象类型)同源分流漏洞(same origin bypass in DOM)。相较于其他4个漏洞,它具有极强的威胁性。该漏洞是基于Chrome浏览器中的DOM平台。远程攻击者可利用该漏洞,通过未定义的向量绕过HTML或XML中的同源策略防护,进而对用户实施攻击。由于发现这一漏洞,Mlynski获得了8000美元的奖励。 Mlynski发现的第二个漏洞是CVE-2016-1668,他将其描述为绕过同源Blink V8 引擎绑定保护(same origin bypass in Blink V8 bindings)。这一漏洞的发现,给Mlynski带来了7500美元的收入。远程攻击者可利用该漏洞,通过一个精心制作的网站来绕过Blink V8引擎的同源保护。V8引擎是由Chromium Project项目组为Chrome浏览器开发的一款开源JavaScript插件引擎。 Mlynski是一名经验丰富的漏洞猎手,他曾在Pwn2Own Contest等黑客大赛上有过优异的表现。 另一名安全研究员Choongwoo Han因发现CVE-2016-1669漏洞,而获得了3000美元奖金。该漏洞会导致V8引擎中的缓冲区溢出。这个漏洞同样具有很强大的破坏力。黑客可通过该漏洞,对目标系统实施拒绝式攻击,使其在短时间内无法响应来自用户的指令。 在剩下的两个漏洞中,一个是破坏加载器运行条件(race condition in loader,CVE-2016-1670),是由一位匿名的漏洞猎手发现。他获得了1337美元的奖金。另一个具有威胁性的漏洞(CVE-2016-1671)是由研究员Jann Horn发现的,他将其称为:在Android系统中可遍历文件目录,随意浏览系统文件。他因此获得了500美元奖励。 Google公司表示,在大多数用户完成Chrome版本更新期间,我们将会陆续披露更多关于这5个漏洞的细节,以及相关研究员的研究成果。 |