נדרש עדכון: חולשת יום-אפס התגלתה בדפדפן כרום
החולשה מנצלת ספריית פונטים מסוימת המאפשרת לתוקף להריץ קוד זדוני. גולשים נדרשים לעדכן את דפדפן כרום
עמי רוחקס דומבה
| 21/10/2020
bigstock
עדכון של Chrome 86 שפרסמה גוגל ביום שלישי האחרון מתקן כמה נקודות תורפה בדרגת חומרה גבוהה, כולל חולשת יום אפס שמנוצלת באופן פעיל. מעקב אחר הפגיעות שנוצלה באופן פעיל כ- CVE-2020-15999 והיא תוארה ככשל buffer overflow המשפיע על FreeType, ספריית תוכנה פופולרית להפעלת גופנים.
בנוסף ל- Chrome ו- Chrome OS, ספריית FreeType משמשת בהפצות לינוקס ו- UNIX, אנדרואיד, iOS, ReactOS ו- Ghostscript, כלומר מנוע הגופנים קיים בלמעלה ממיליארד מכשירים, כך על פי מפתחיו.
CVE-2020-15999 התגלה על ידי חוקר Google Project Zero, סרגיי גלזונוב, ב -19 באוקטובר. הוא דווח מיד גם למפתחי FreeType, שיצרו תיקון חירום ב -20 באוקטובר, שנכלל ב- FreeType 2.10.4. גלזונוב, ששיתף פרטים אודות הפגיעות, ציין כי בעוד שתיקון החירום נראה עובד, תיקון ארוך טווח ידרוש בדיקת קוד יסודית.
הנושא קשור ל- Load_SBit_Png, פונקציה המעבדת תמונות PNG המוטמעות בגופנים. פגיעות buffer overflow לרוב מאפשרת לתוקף לבצע קוד שרירותי. במקרה זה, ניצול כולל ככל הנראה קבצי גופן שעוצבו במיוחד לצורך המתקפה.
החולשה מנצלת ספריית פונטים מסוימת המאפשרת לתוקף להריץ קוד זדוני. גולשים נדרשים לעדכן את דפדפן כרום
bigstock
עדכון של Chrome 86 שפרסמה גוגל ביום שלישי האחרון מתקן כמה נקודות תורפה בדרגת חומרה גבוהה, כולל חולשת יום אפס שמנוצלת באופן פעיל. מעקב אחר הפגיעות שנוצלה באופן פעיל כ- CVE-2020-15999 והיא תוארה ככשל buffer overflow המשפיע על FreeType, ספריית תוכנה פופולרית להפעלת גופנים.
בנוסף ל- Chrome ו- Chrome OS, ספריית FreeType משמשת בהפצות לינוקס ו- UNIX, אנדרואיד, iOS, ReactOS ו- Ghostscript, כלומר מנוע הגופנים קיים בלמעלה ממיליארד מכשירים, כך על פי מפתחיו.
CVE-2020-15999 התגלה על ידי חוקר Google Project Zero, סרגיי גלזונוב, ב -19 באוקטובר. הוא דווח מיד גם למפתחי FreeType, שיצרו תיקון חירום ב -20 באוקטובר, שנכלל ב- FreeType 2.10.4. גלזונוב, ששיתף פרטים אודות הפגיעות, ציין כי בעוד שתיקון החירום נראה עובד, תיקון ארוך טווח ידרוש בדיקת קוד יסודית.
הנושא קשור ל- Load_SBit_Png, פונקציה המעבדת תמונות PNG המוטמעות בגופנים. פגיעות buffer overflow לרוב מאפשרת לתוקף לבצע קוד שרירותי. במקרה זה, ניצול כולל ככל הנראה קבצי גופן שעוצבו במיוחד לצורך המתקפה.
