【最新】Chrome遠端程式碼執行0day分析報告

一.  漏洞簡介

2021年4月13日，星河學院監測發現國外安全研究員釋出了Chrome遠端程式碼執行漏洞的利用詳情，攻擊者利用該漏洞可遠端執行系統命令。此外，大量基於Chrome核心的瀏覽器也存在該漏洞。

二.  漏洞描述

2.1  事件描述

攻擊者利用此漏洞，可以構造一個惡意的web頁面，當使用者訪問該頁面時，會造成遠端程式碼執行。

2.2  影響版本

Google-Chrome<=89.0.4389.114

三.  詳細分析

3.1  事件的攻擊流程

Poc參考地址：

https://github.com/r4j0x00/exploits/tree/master/chrome-0day

該漏洞成功利用需要chrome瀏覽器在關閉沙箱的條件下執行。

1、google瀏覽器增加“--no-sandbox”引數。

2、訪問部署了exp的網頁，exp命令執行效果為呼叫系統計算器。

四.  總結

針對該漏洞，建議廣大使用者及時關注Google官方正式版更新。目前Google緊急釋出的測試版Chrome(90.0.4430.70)已修復該漏洞。同時，建議不要關閉谷歌瀏覽器的沙箱模式。

自2021開年來，谷歌共修復CVE-2021-21148、CVE-2021-21166、CVE-2021-21193等多個高危0day漏洞，建議大家及時關注官方更新資訊。Chrome使用者可透過瀏覽器點選設定>關於Chrome來更新到最新版本。

五.  參考連結

https://twitter.com/r4j0x00/status/1381643526010597380

https://github.com/r4j0x00/exploits/tree/master/chrome-0day