در صورت بهره‌برداری از این آسیب‌پذیری، حملات اجرای کد و منع سرویس امکان‌پذیر می‌شوند. این آسیب‌پذیری در بلینک (Blink) موتور مرورگر کروم قرار دارد که بخشی از پروژه کرومیوم است. کار یک موتور مرورگر این است که اسناد HTML و سایر منابع صفحه وب را به نمایش گرافیکی تبدیل کند که برای کاربر نهایی قابل مشاهده است.

نسخه به‌روزرسانی شده کروم یعنی 89.0.4389.90 که برای مک، لینوکس و ویندوز منتشر شده است، آسیب‌پذیری فوق را به همراه چند آسیب‌پذیری دیگر برطرف می‌کند.

آسیب‌پذیری استفاده پس از آزادسازی

آسیب‌پذیری نامبرده (CVE-2021-21193) دارای امتیاز 8.8 از 10 در مقیاس CVSS است که به معنای حساسیت بالای آسیب‌پذیری است. این آسیب‌پذیری از نوع آزادسازی پس از استفاده (use-after-free) است که به استفاده نادرست از حافظه پویا مربوط می‌شود. این نوع آسیب‌پذیری وقتی ایجاد می‌شود که برنامه، بعد از آزادسازی محلی از حافظه پویا، اشاره گری که به آن محل از حافظه اشاره می‌کند را پاک نکند. در این صورت مهاجم می‌تواند به برنامه نفوذ کند.

طبق گزارش IBM X-Force، مهاجم می‌تواند با استفاده از این آسیب‌پذیری کد دلخواه خود را از راه دور روی سیستم اجرا کند. مهاجم راه دور می‌تواند یک صفحه وب را به طور خاص برای سوء استفاده از این آسیب‌پذیری طراحی کرده و قربانی را به بازدید از آن تشویق کند. در صورتی که قربانی از آن صفحه وب بازدید کند، مهاجم می‌تواند کد دلخواه خود را اجرا کند یا باعث ایجاد شرایط منع سرویس شود.

جزئیات بیشتری درباره این آسیب‌پذیری منتشر نشده است، زیرا به قول گوگل «ممکن است دسترسی به جزئیات باگ و لینک‌ها محدود بماند تا وقتی که اکثر کاربران به‌روزرسانی را انجام داده باشند.» این آسیب‌پذیری توسط یک فرد ناشناس کشف و به گوگل گزارش شده است. همچنین طبق اطلاعیه گوگل، این شرکت گزارش‌هایی دریافت کرده است که نشان می‌دهد کد بهره‌برداری‌ای برای این آسیب‌پذیری وجود دارد.

سایر آسیب‌پذیری‌ها

علاوه بر آسیب‌پذیری فوق، چهار آسیب‌پذیری دیگر نیز در این به‌روزرسانی برطرف شده‌اند که از بین آنها می‌توان به موارد زیر اشاره کرد:

یک آسیب‌پذیری دیگر از نوع استفاده پس از آزادسازی (CVE-2021-21191) که به WebRTC مربوط است. WebRTC سرواژه Web real-time communications است که به مرورگرهای وب و اپلیکیشن‌های موبایل امکان برقراری ارتباط تعاملی (مثل چت صوتی و ویدئویی) را می‌دهد. یک آسیب‌پذیری دیگر با درجه حساسیت بالا (CVE-2021-21192) از نوع سرریز بافر هیپ است که از گروه‌های تب کروم نشئت می‌گیرد.

سومین آسیب‌پذیری روز صفر امسال

آسیب‌پذیری روز صفر مذکور، سومین روز صفر کروم در سال جاری میلادی (سه ماه اخیر) است و دومین مورد در ماه جاری. گوگل قبلاً هم در همین ماه مارچ، یک روز صفر با درجه حساسیت بالا را برطرف کرده بود که از مؤلفه صوتی مرورگر کروم نشئت می‌گرفت.

در ماه فوریه گوگل از یک روز صفر خبر داد که در موتور وب متن‌باز V8 قرار داشت و در آن زمان مورد سوء استفاده مهاجمان بود. وصله مربوطه در نسخه 88 ارائه شد.

به‌روزرسانی

در بسیاری موارد کروم به طور خودکار به‌روز می‌شود اما برای اطمینان بیشتر می‌توانید در گوگل کروم به آدرس chrome://settings/help بروید. در صورت نیاز به به‌روزرسانی، کروم فرایند دانلود و نصب را اجرا می‌کند. پس از آن می‌توانید مرورگر را یک بار باز و بسته کنید تا به‌روزرسانی کامل شود.