Google ได้ยืนยันในประกาศด้านความปลอดภัยเมื่อวันจันทร์ว่า มีผู้โจมตีใช้ประโยชน์จากบั๊กนี้แล้ว แม้ว่าจะยังไม่ได้ระบุว่าใครอยู่เบื้องหลังการโจมตีหรือใครคือเป้าหมาย
ช่องโหว่ถูกรายงานแบบไม่ระบุตัวตนเมื่อวันที่ 6 พฤศจิกายน และเกี่ยวข้องกับข้อผิดพลาดในการจัดการหน่วยความจำที่เกิดขึ้นเมื่อซอฟต์แวร์ยังคงใช้พอยน์เตอร์ไปยังหน่วยความจำที่ถูกปล่อยไปแล้ว ซึ่งอาจทำให้ผู้โจมตีสามารถทำให้หน่วยความจำเสียหายและรันโค้ดที่เป็นอันตรายได้
การอัปเดตนี้ยังแก้ไขช่องโหว่ด้านความปลอดภัยอีก 8 จุด รวมถึงข้อบกพร่องร้ายแรงใน WebGL, FileSystem, GPU, Compositing และ V8 JavaScript engine โดยรวมถึงข้อบกพร่อง use-after-free ในส่วน XML ของ Chrome ที่ถูกรายงานโดย Arni Hardarson ของ Neonix Security
ก่อนหน้านี้ ในเดือนมิถุนายน Google ได้แพตช์ช่องโหว่ zero-day ของ Chrome ที่ถูกโจมตีใช้งานจริงไปแล้ว 5 จุด ซึ่งรวมถึงข้อบกพร่องใน V8 JavaScript engine และ Skia graphics library
Google ระบุว่าการอัปเดตล่าสุดจะทยอยปล่อยออกมาในอีกไม่กี่วันถึงหลายสัปดาห์ข้างหน้า แต่ผู้ใช้ควรตรวจสอบด้วยตนเองผ่านเมนู Settings ของ Chrome เพื่อความปลอดภัย
ศัพท์ที่ควรรู้
- Zero-day – ช่องโหว่ด้านความปลอดภัยที่ยังไม่มีแพตช์จากผู้ผลิต
- Memory management error – ข้อผิดพลาดในการจัดการหน่วยความจำที่เกิดขึ้นเมื่อซอฟต์แวร์ทำงานผิดพลาด
- Corrupt memory – การทำให้หน่วยความจำเสียหาย ซึ่งอาจนำไปสู่การควบคุมโปรแกรม
- V8 JavaScript engine – ส่วนประกอบของ Chrome ที่ใช้ประมวลผลโค้ด JavaScript
ที่มา: The Register