Google ha rilasciato un aggiornamento d’emergenza di Chrome per risolvere il più velocemente possibile due vulnerabilità zero-day, di cui già circolano in rete gli exploit. “Non c’è tempo da perdere, bisogna scaricare la nuova release”, ci spiega Pierluigi Paganini, Cyber Security Analyst e Ceo CYBHORUS.
Indice degli argomenti
Chrome 94.0.4606.71 è già disponibile per Windows, Mac e Linux
“Il browser più utilizzato al mondo Chrome deve essere urgentemente aggiornato alla versione 94.0.4606.71 (per Windows, Mac e Linux)”, spiega Paganini: “Si tratta della quarta e quinta vulnerabilità zero-day solo in questo mese”. “La prima falla CVE-2021-37976 è anonima, descritta come ‘Information leak in core’ e le è stata attribuita una severità di livello medio, ma la seconda vulnerabilità zero-day, CVE-2021-37975, è ad elevata severità e lascia supporre attori nation-state, attaccanti consapevoli di andare a segno, e la cui capacità di attaccare le falle nei browser si sta rafforzando. Lo conferma il fatto che è la quattordicesima segnalazione di falle zero-day da inizio dell’anno”.
Google avverte che già sono stati diffusi gli exploit per le falle zero-day CVE-2021-37975 e CVE-2021-37976. La prima, CVE-2021-37976, è stata scoperta da Clément Lecigne di Google Google Threat Analysis Group (TAG), con il supporto tecnico di Sergei Glazunov e Mark Brand del Google Project Zero. La seconda vulnerabilità CVE-2021-37975 è etichettata di livello High severity, si riferisce a un user-after-free bug nel V8 JavaScript engine di Chrome.
Il consiglio: scaricare subito la nuova release di Chrome
Google ha già reso disponibile Chrome 94.0.4606.71 nel canale Stable Desktop e la nuova versione sarà rilasciata a tutti nei prossimi giorni. Per un download rapido, gli utenti di Google Chrome possono basta andare nelle impostazioni: Chrome menu/Help/About Google Chrome ed effettuare il download della versione che sana le due nuove falle a rischio exploit. Complessivamente, la nuova release comporta quattro patch, fra cui quella per V8 JavaScript e WebAssembly engine.
Mancano ancora i dettagli su come le falle siano state sfruttate negli attacchi ma, appena disponibili, saranno resi noti da Google TAG o Google Project Zero.
