4月13日,国外安全研究员发布了Chrome 远程代码执行 0Day漏洞的PoC(https://blog.csdn.net/MachineGunJoe/article/details/115672807)详情。攻击者可利用此漏洞,构造一个恶意的Web页面,用户访问该页面时,会造成远程代码执行。4月14日互联网上又公开了一份Chrome V8引擎远程代码执行0day漏洞POC(GitHub - avboy1337/1195777-chrome0day),区别于4月13日公开的0Day漏洞。 而这两个漏洞共同影响Chrome最新正式版(90.0.4430.72)以及基于Chromium内核的Microsoft Edge正式版(89.0.774.77)以下版本(目前4月13日的0day,google已修复)。令人担忧的是,谷歌声称,一些黑客正在频繁的利用这个0bay的命令执行漏洞来攻击Chrome用户。攻击者可通过构造特制web页面并诱导受害者访问来利用此漏洞获得远程代码执行。 而 Chrome浏览器是由Google开发的免费网页浏览器。许多第三方浏览器如QQ浏览器、360浏览器、小智双核浏览器都使用Chromium内核,因此这些国内知名浏览器同样会受该0day漏洞影响, 不过用户无需过分担心,小智双核浏览器已第一时间紧急修复并发布安全更新,可全面拦截利用该漏洞发起的攻击,保证用户安全正常上网。小智用户在线升级到最新版本或下载5.0.2.28版本即可抵御chrome 0day和0Day漏洞。 以下是复现4月14日0Day漏洞的方法,以让网页弹出记事本为例: 1、将以下代码保存为 "0day-Notepad.html" 代码框---- 2、Chrome 浏览器 创建快捷方式到桌面 右键编辑快捷方式,增加参数:"--no-sandbox",: --no-sandbox 3、双击上面创建的快捷方式打开Chrome浏览器,将刚才创建的“0day-Notepad.html”文件,拖到浏览器打开,可以看到浏览器打开了记事本,: *注:该代码适用于版本号不高于90.0.4430.72的64位谷歌浏览器,小智双核浏览器修复了该漏洞,可用V5.0.2.28,64位版本进行验证,记事本将不会被打开。 |
閺€鎯版閹存劕濮�閺屻儳婀呴弨鎯版>>
1正在阅读:Chrome漏洞来袭!小智用户应立即升级到最新版本Chrome漏洞来袭!小智用户应立即升级到最新版本
2021-04-27 17:08
出处:其他
责任编辑:censi
