Aggiornamento di sicurezza per Chrome 120

Google ha recentemente distribuito l'aggiornamento per Chrome nella versione stabile 120, che comprende la correzione di 10 vulnerabilità. Tra queste, segnalate da ricercatori esterni, troviamo cinque falle di sicurezza per le quali Google ha riconosciuto ricompense per un totale di 15.000 dollari, come indicato nell'avviso ufficiale di Google.

Dettagli sulle vulnerabilità risolte

Le problematiche più critiche tra le risolte sono rappresentate dalla CVE-2023-6508, riconosciuta con un grado di pericolosità elevato legata ad un problema di utilizzo di memoria dopo la sua liberazione (use-after-free) nella componente Media Stream, che è stata valutata 10.000 dollari. Al seguente posto vi è la vulnerabilità CVE-2023-6509 della medesima categoria di gravità, che affligge invece il componente Side Panel Search del browser.

Le implicazioni delle falle di memoria

Le falle di tipo use-after-free, che si verificano per una mancata "pulizia" dei puntatori dalla memoria già liberata, possono portare all'esecuzione di codice arbitrario, alla corruzione di dati o a negazione del servizio. Inoltre, se combinate con altre vulnerabilità, possono essere sfruttate per compromettere completamente un sistema. Nel caso di Chrome, queste vulnerabilità potrebbero permettere di eludere il meccanismo di sandboxing, ma ciò richiederebbe ulteriori falle di sicurezza a livello del sistema operativo sotto giacente o nei processi con privilegi elevati.

Rilasci e prevenzione attiva di Google

L'attuale iterazione di Chrome viene distribuita nella versione 120.0.6099.62 per macOS e Linux e nella versione 120.0.6099.62/.63 per Windows. Google ha inoltre aggiornato il canale Chrome Extended Stable alla versione 120.0.6099.62 per macOS e 120.0.6099.63 per Windows. La società non ha identificato attacchi attivi sfruttanti le vulnerabilità risolte. Va notato che la scorsa settimana è stato emesso un aggiornamento di sicurezza per Chrome per affrontare la CVE-2023-6345, segnando il settimo difetto zero-day identificato nel browser nel 2023.