Google Chrome อัพเดท patch อุดช่องโหว่ร้ายแรง

CVE-2020-6492 คือ use-after-free vulnerability ใน WebGL (Web Graphics Libray) เป็นส่วนประกอบนึงของ Chrome browser, ส่วนประกอบนี้เป็น Javascript API ที่ทำให้ผู้ใช้งาน render 2D และ 3D graphics ใน browser ซึ่งข้อผิดพลาดที่เกิดขึ้นก็คือส่วนประกอบของ WebGL ไม่สามารถที่จะรับมือกับ objects ใน memory ได้

ตามการโจมตี้ Proof-of-concept (PoC) ที่ระบุไว้โดยนักวิจัย ซึ่งปัญหาเกิดขึ้นกับ function ANGLE ที่มีชื่อว่า “State::syncTextures”, function ที่รับผิดชอบในส่วนของการตรวจ texture ที่มี “DirtyBits”, “bitsets”  เหล่านี้บ่งชี้ให้เห็นถึงสถานะของ state value ที่เปลี่ยน การ block computer memory

ผู้โจมตีจะ execute vulnerable code ผ่าน function ที่มีชื่อว่า drawArraysInstanced เมื่อ texture object พยายามที่จะ syncState ผ่าน “Texture::syncState” function ที่ถูกสร้างขึ้นมาแล้วพยายามที่จะเข้าถึง memory อาจส่งผลให้เกิด program crash หรือก่อให้เกิดการ execution of arbitrary code ได้

อ้างอิง: https://threatpost.com/google-fixes-high-severity-chrome-browser-code-execution-bug/158600/

Share