Trong số các lỗ hổng được báo cáo bởi các nhà nghiên cứu bên ngoài, có 08 lỗ hổng được đánh giá quan trọng, 18 lỗ hổng có mức độ trung bình và 9 lỗ hổng mức thấp.
Lỗ hổng nghiêm trọng thứ nhất có định danh CVE-2019-13725, là lỗ hổng use-after-free trong thành phần Bluetooth, được báo cáo bởi Gengming Liu và Jianyu Chen của Phòng thí nghiệm bảo mật Tencent Keen. Lỗ hổng nghiêm trọng thứ hai là lỗ hổng CVE-2019-13726. Đây là lỗ hổng tràn bộ đệm heap trong trình quản lý mật khẩu, được báo cáo bởi Sergei Glazunov của Google Project Zero. Google tiết lộ rằng họ đã trả 20.000 USD cho lỗ hổng use-after-free, nhưng vẫn chưa xác định được tiền thưởng cho lỗ hổng tràn bộ đệm.
Các lỗ hổng quan trọng được xử lý trong phiên bản Chrome 79 bao gồm lỗ hổng thực thi chính sách không đầy đủ trong WebSockets (CVE-2019-13727), lỗ hổng ghi ngoài phạm vi (out-of-bounds) trong phiên bản V8 (CVE-2019-13728 và CVE-2019-13735), lỗ hổng use-after-free trong WebSockets (CVE-2019-13729), lỗ hổng type confusion trong V8 (CVE-2019-13730 và CVE-2019-13764), lỗ hổng use-after-free trong WebAudio (CVE-2019-13732) và ghi ngoài phạm vi trong SQLite (CVE -2019-13734).
Các lỗ hổng mức độ trung bình bao gồm: lỗ hổng tràn số nguyên trong PDFium; lỗ hổng thực thi chính sách không đầy đủ trong tự động hoàn tất, điều hướng, Omnibox, cookies, âm thanh và các công cụ dành cho nhà phát triển; lỗ hổng bảo mật UI hoạt động không chính xác trong Omnibox, chia sẻ và xử lý giao thức bên ngoài; lỗ hổng xác nhận không đầy đủ đầu vào không đáng tin cậy trong Blink; lỗ hổng sử dụng khi chưa được khởi tạo trong render và SQLite; các lỗ hổng đọc ngoài giới hạn và xác nhận dữ liệu không đầy đủ trong SQLite.
Các lỗ hổng có mức độ nghiêm trọng thấp được vá trong Chrome 79 bao gồm: lỗ hổng thực thi chính sách không đầy đủ trong các tiện ích mở rộng, điều hướng, tải xuống và thanh toán; lỗ hổng bảo mật UI không chính xác trong in ấn, quảng cáo xen kẽ và Omnibox.
Google cũng bổ sung tính năng cảnh báo người dùng khi sử dụng lại mật khẩu trong phiên bản Chrome 79. Cụ thể, trình duyệt này sẽ cảnh báo người dùng về những mật khẩu trùng khi họ cố gắng sử dụng để đăng nhập vào trang web. Trước đây, tính năng này có sẵn thông qua một tiện ích mở rộng, nhưng hiện đã được tích hợp vào trình duyệt.
Tổng cộng, Google đã trả 80.000 USD tiền thưởng cho các nhà nghiên cứu bảo mật, nhưng họ vẫn chưa tiết lộ số tiền phải trả cho 10 lỗ hổng, trong đó bao gồm 01 lỗ hổng nghiêm trọng và 04 lỗ hổng quan trọng.
Phiên bản mới của trình duyệt Chrome hiện đã có sẵn để tải xuống với số hiệu 79.0.3945.79, dành cho hệ điều hành Windows, Mac và Linux.
T.U
Theo Security Week
14:00 | 21/11/2019
13:00 | 03/02/2020
14:00 | 13/09/2019
15:00 | 02/07/2019
07:00 | 14/03/2024
Nhà sản xuất chip lớn nhất của Mỹ Qualcomm vừa phát hành bản bản vá tháng 3 cho 16 lỗ hổng bảo mật. Đáng chú ý, 2 lỗ nghiêm trọng định danh CVE-2023-28578 và CVE-2023-28582 khiến hàng tỷ thiết bị đối mặt với nguy cơ bị tấn công.
16:00 | 08/03/2024
Microsoft đã phát hành bản cập nhật Windows 11 'Moment 5' cho các phiên bản 23H2 và 22H2, bắt đầu triển khai các tính năng mới, chẳng hạn như các plugin và kỹ năng Windows Copilot, truy cập bằng giọng nói, các cải tiến AI cho ClipChamp và Photos và trình tường thuật.
08:00 | 12/01/2024
Mới đây, Microsoft cho biết sẽ tiếp tục vô hiệu hóa trình xử lý giao thức MSIX ms-appinstaller theo mặc định sau khi bị nhiều tác nhân đe dọa lạm dụng để phát tán phần mềm độc hại.
13:00 | 20/11/2023
Cradlepoint, công ty hàng đầu thế giới về các giải pháp kết nối biên không dây 5G và LTE được quản lý trên đám mây đã công bố giải pháp Biên dịch vụ truy cập an toàn (Secure Access Service Edge - SASE) được tối ưu hóa cho 5G vào cuối tháng 7/2023. 5G SASE của Cradlepoint được thiết kế cho các loại hình doanh nghiệp và được xây dựng có mục đích triển khai mạng diện rộng (WAN) không dây. Việc triển khai theo từng giai đoạn giải pháp 5G SASE sẽ cho phép các doanh nghiệp tạo môi trường SD-WAN và không dây kết hợp nhằm tối ưu hóa tính khả dụng, chất lượng dịch vụ và bảo mật cho các vị trí biên, phân tán và di động.
Telegram đã sửa một lỗ hổng zero-day trong ứng dụng máy tính để bàn Windows có thể được sử dụng để vượt qua (bypass) các cảnh báo bảo mật và tự động khởi chạy các tập lệnh Python.
10:00 | 24/04/2024