Google, yaygın olarak kullanılan bir istismar olan Chrome sıfır gün güvenlik açığını (CVE-2024-4671) düzeltti.
CVE-2024-4671 Hakkında
CVE-2024-4671, Visuals bileşeninde bulunan ve uzak saldırganlar tarafından özel hazırlanmış bir HTML sayfası yoluyla istismar edilebilir bir yığın bozulmasını tetiklemek için kullanılabilecek bir serbest kullanım sonrası güvenlik açığıdır.
“Bu güvenlik açığından başarıyla yararlanılması, oturum açmış kullanıcı bağlamında rastgele kod yürütülmesine olanak sağlayabilir. Kullanıcıyla ilişkili ayrıcalıklara bağlı olarak saldırgan, programları yükleyebilir; verileri görüntüleme, değiştirme veya silme; veya tam kullanıcı haklarına sahip yeni hesaplar oluşturun,” diye açıklıyor CIS.
“Hesapları sistemde daha az kullanıcı hakkına sahip olacak şekilde yapılandırılmış kullanıcılar, yönetici kullanıcı haklarıyla çalışan kullanıcılara göre daha az etkilenebilir.”
Sıfır gün, anonim bir hata avcısı tarafından rapor edildi ve Google’a göre, bunun için yaygın bir istismar mevcut. Her ne kadar şirket bu açıktan yararlanmanın saldırganlar tarafından kullanıldığını açıkça söylemese de, öyle olması ya da çok yakında kullanılması ihtimali oldukça yüksek.
Düzeltmeler
Güvenlik açığı, Google Chrome’un kararlı masaüstü sürümlerinde düzeltildi:
- Mac ve Windows için v124.0.6367.201/.202
- Linux için v124.0.6367.201
Şirket, “Genişletilmiş Kararlı kanal, Mac ve Windows için 124.0.6367.201 olarak güncellendi ve önümüzdeki günlerde/haftalarda kullanıma sunulacak” diye ekledi.
Otomatik güncellemeyi kapatan kullanıcıların, sağlanan güncellemeyi kontrol edip uygulamaları ve ardından tarayıcıyı yeniden başlatmaları önerilir. Otomatik güncellemeyi açık olan ve bir süredir tarayıcıyı yeniden başlatmayan kullanıcılar, yakında bekleyen bir güncellemeyi belirten bir açılır pencere simgesi görecektir.