漏洞描述
2月25日，谷歌Chrome瀏覽器與微軟Edge瀏覽器發(fā)布了安全更新，在Google Chrome瀏覽器80.0.3987.122以下與Microsoft Edge瀏覽器80.0.361.62以下的版本中，開(kāi)源JavaScript和WebAssembly引擎V8中存在一個(gè)類型混淆漏洞（CVE-2020-6418），可能導(dǎo)致攻擊者非法訪問(wèn)數(shù)據(jù)，從而執(zhí)行惡意代碼。有研究人員發(fā)現(xiàn)，在更新發(fā)布前，該漏洞就已經(jīng)被攻擊者用于實(shí)際攻擊。目前漏洞細(xì)節(jié)已公開(kāi)，請(qǐng)裝有谷歌Chrome與微軟Edge等使用V8引擎的瀏覽器用戶進(jìn)行防護(hù)。
漏洞編號(hào)
CVE-2020-6418
漏洞危害
攻擊者利用此漏洞，可實(shí)現(xiàn)非法訪問(wèn)數(shù)據(jù)、執(zhí)行惡意代碼。
漏洞等級(jí)
高危
受影響版本
Google Chrome < 80.0.3987.122
Microsoft Edge < 80.0.361.62
修復(fù)方案
1.官方升級(jí)
目前官方已發(fā)布新版本修復(fù)了該漏洞，請(qǐng)受影響的用戶盡快升級(jí)版本進(jìn)行防護(hù)。
Google Chrome瀏覽器升級(jí)步驟：
（1）在Chrome瀏覽器中，點(diǎn)擊右上方的菜單欄圖標(biāo)，選擇“幫助”-“關(guān)于Google Chrome(G)”；
（2）確認(rèn)瀏覽器當(dāng)前版本，80.0.3987.122以下版本（不含80.0.3987.122）均存在上述漏洞；
（3）在打開(kāi)“關(guān)于Chrome”界面后，將自動(dòng)進(jìn)行更新，如果未自動(dòng)更新或更新失敗，請(qǐng)刷新該界面；
（4）如果上述更新方式失敗，建議訪問(wèn)Chrome官網(wǎng)下載最新版本并重新安裝：https://www.google.cn/intl/zh-CN/chrome。
Microsoft Edge瀏覽器更新步驟：
用戶可通過(guò)開(kāi)啟Windows系統(tǒng)的Microsoft Update服務(wù)進(jìn)行自動(dòng)更新安裝相應(yīng)補(bǔ)丁。
注：由于網(wǎng)絡(luò)問(wèn)題、計(jì)算機(jī)環(huán)境問(wèn)題等原因，Windows Update的補(bǔ)丁更新可能出現(xiàn)失敗。用戶在安裝補(bǔ)丁后，應(yīng)及時(shí)檢查補(bǔ)丁是否成功更新。
右鍵點(diǎn)擊Windows徽標(biāo)，選擇“設(shè)置(N)”，選擇“更新和安全”-“Windows更新”，查看該頁(yè)面上的提示信息，也可點(diǎn)擊“查看更新歷史記錄”查看歷史更新情況。
如果上述更新方式失敗，建議訪問(wèn)Microsoft官網(wǎng)下載最新版本并重新安裝：
https://www.microsoft.com/en-us/edge
2．臨時(shí)緩解措施
如果相關(guān)用戶暫時(shí)無(wú)法升級(jí)，請(qǐng)避免使用Google Chrome與Microsoft Edge瀏覽網(wǎng)頁(yè)，建議換用Firefox、IE等其他不受該漏洞影響的瀏覽器。同時(shí)，應(yīng)避免打開(kāi)任何可疑、陌生的網(wǎng)站，特別是謹(jǐn)慎點(diǎn)擊陌生電子郵件中包含的超鏈接。
參考鏈接
- https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop_24.html
- https://docs.microsoft.com/zh-cn/deployedge/microsoft-edge-relnotes-security