谷歌昨日证实，上周针对Chrome发布的更新，其实是对某个零日漏洞攻击的回应。由原始公告和Chrome安全主管发布的推文可知，攻击者能够利用CVE20195786这个安全漏洞，而上周五（2019年3月1日）发布的Chrome72。0。3626。121更新，就包含了这个唯一的补丁。谷歌将该问题归咎于文件阅读器（FileReader）的内存管理bug。
其表示，各大主流浏览器都包含了一个WebAPI，允许Web应用程序读取存储在用户计算机上的文件内容。确切点说，这是一个释放后使用（useafterfree）漏洞：
Chrome对分配给自己的内存进行了释放删除，但另一款应用程序试图对这部分内容进行访问如果处理不当，可能会导致恶意代码执行。
曝光该漏洞的Zerodium首席执行官ChaoukiBekrar表示：CVE20195786漏洞允许恶意代码逃脱Chrome的安全沙箱，并在操作系统的底层上运行命令。
在承认错误的同时，谷歌方面还对发现该漏洞的安全研究人员表示了赞赏。
在上月于以色列举办的一场安全会议上，微软安全工程师MattMiller曾表示：该公司每年通报的安全漏洞中，大约有70都是内存安全bug。
显然，GoogleChrome上周处理的CVE20195786，这属于这方面的漏洞不过我们可以把大锅扣在C和C这两种对内存操作不怎么安全的编程语言头上。
作为一个开源项目，GoogleChrome和许多套牌浏览器都采用了基于Chromium的内核。而大部分开发者所使用的，都是C或C语言。
谷歌建议，为保上网安全，还请尽快通过浏览器内置的更新功能，将浏览器升级到最新的72。0。3626。121版本。
〔viaZDNet〕
【来源：cnBeta。COM】
（全文）
