Lỗ hổng Zero-day (hay 0-day) là thuật ngữ để chỉ những lỗ hổng phần mềm hoặc phần cứng chưa được biết đến và chưa được khắc phục. Các Hacker có thể tận dụng lỗ hổng này để tấn công xâm nhập vào hệ thống máy tính của doanh nghiệp, tổ chức để đánh cắp hoặc thay đổi dữ liệu.
Google Chrome 91.0.4472.101 đã ra mắt trên toàn thế giới và cho phép tất cả người dùng cập nhật. Google sẽ tự động nâng cấp trình duyệt vào lần tiếp theo bạn khởi chạy chương trình, nhưng bạn có thể thực hiện cập nhật thủ công bằng cách đi tới Cài đặt> Trợ giúp> Giới thiệu về Google Chrome.
Hiện có rất ít thông tin chi tiết liên quan đến lỗ hổng zero-day đã được khắc phục ngoài việc nó là lỗi nhầm lẫn kiểu trong phiên bản 8, mã nguồn mở của Google, C ++ WebAssembly và JavaScript engine.
Sergei Glazunov thuộc Google Project Zero đã phát hiện lỗ hổng và gắn mã định danh cho nó là CVE-2021-30551. Google tuyên bố rằng họ "biết rằng việc khai thác CVE-2021-30551 xảy ra nhiều".
Shane Huntley, Giám đốc Nhóm Phân tích Nguy Cơ của Google, nói rằng zero-day này đã được sử dụng tương tự như cách sử dụng zero-day Windows CVE-2021-33742 đã được Microsoft sửa hôm 8/6.
Bản cập nhật mới của Google Chrome đã sửa lỗi zero-day thứ 6 bị khai thác trong các cuộc tấn công trong năm 2021, với 5 lỗi khác được liệt kê bên dưới:
CVE-2021-21148 - ngày 4/2/2021
CVE-2021-21166 - ngày 2/3/2021
CVE-2021-21193 - ngày 12/3/2021
CVE-2021-21220 - ngày 13/4/2021
CVE-2021-21224 - ngày 20/4/2021
Ngoài những lỗ hổng này, còn có tin tức về một nhóm tác nhân đe dọa được gọi là Puzzlemaker đang xâu chuỗi các lỗi zero-day của Google Chrome để thoát khỏi sandbox của trình duyệt và cài đặt phần mềm độc hại trong Windows - Sandbox có khả năng cô lập tất cả các ứng dụng và ngăn chặn những phần mềm độc hại, nhằm giúp máy tính không bị chúng tấn công.
Các nhà nghiên cứu cho biết: "Những kẻ tấn công đã khai thác lỗ hổng của cả Chrome và Windows để có được chỗ đứng trong hệ thống mục tiêu, tải xuống và chạy một phần mềm 'malware' phức tạp hơn trên một máy chủ từ xa".
Ngày 8/6, Microsoft đã sửa các lỗ hổng Windows trong nhưng Kaspersky không thể xác định những lỗ hổng nào của Google Chrome đã được sử dụng trong các cuộc tấn công Puzzlemaker.
Kaspersky tin rằng những kẻ tấn công có thể đã sử dụng lỗ hổng CVE-2021-21224 của Google Chrome nhưng không loại trừ việc sử dụng thêm các lỗ hổng chưa được tiết lộ.
