Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Эксперты взялись за главную дыру Google Chrome — JavaScript-движок V8

Как известно, JavaScript-движок V8, используемый в браузере Google Chrome, не раз подвергался критике со стороны специалистов в области кибербезопасности. Эксперты отмечали большое количество уязвимостей в V8, однако теперь появилась новая инициатива, задача которой — усилить безопасность движка JavaScript.

В этом году разработчики Google пропатчили множество уязвимостей нулевого дня (0-day) в V8. В апреле, например, корпорация подтвердила наличие серьёзного бага CVE-2021-21224, используемого в реальных атаках.

Чтобы как-то решить проблему с JavaScript-движком, Сэмюэль Гросс из Google Project Zero предложил своё видение песочницы для V8, которая должна защитить память от опасных уязвимостей.

«Баги V8, как правило, позволяют создать нетипично мощные эксплойты. Более того, эти дыры вряд ли можно устранить посредством безопасных языков программирования (например, Rust) или функциями безопасности вроде MTE и CFI. В результате V8 становится лакомым куском для злоумышленников», — объясняет специалист.

Также Гросс отметил, что стоит уделить внимание проблемам во взаимодействии софтверных компонентов браузера с аппаратной составляющей. Там тоже есть баги, из-за которых у атакующих появляется возможность выполнить код в системе пользователя.

Основная проблема здесь кроется в JIT-компиляторах, которые можно использовать для запуска злонамеренного кода, повреждающего память. Тем не менее введение дополнительных уровней защиты может сказаться на производительности, признаёт эксперт.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft заменила обновление Office 2016, сломавшее Word, Excel и Outlook

После установки накопительного обновления KB5002700 для Office 2016 пользователи Windows 10 и 11 столкнулись с отказом приложений. При запуске сразу падали Word и Excel, при попытке доступа к Календарю — Outlook.

Число жалоб в соцсетях стремительно множилось, проблема приобретала массовый характер. Больше прочих страдали юзеры, у которых Word и Excel слетали во время работы над новым документом: они теряли все несохраненные данные.

Как оказалось, ситуацию можно исправить деинсталляцией обновления KB5002700, вышедшего в рамках апрельского «вторника патчей». Однако удалить его можно только вручную с помощью Редактора реестра (после этого потребуется перезагрузка).

В итоге Microsoft пришлось выпустить новый апдейт (KB5002623) для Office 2016 с соответствующими исправлениями. Он пока доступен только в Центре загрузок Microsoft, но вскоре, видимо, будет раздаваться в автоматическом режиме.

В этом месяце Microsoft также выпустила накопительное обновление для своей ОС, которое в числе прочего устраняет проблемы с печатью, возникшие у пользователей Windows после установки январских KB5050081 и KB5050092. Из-за привнесенного бага двухрежимные USB-принтеры начали самопроизвольно печатать бессмыслицу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru