关于Google V8引擎远程代码执行误差导致微信等软件保存关联误差的清静通告

首页普法课堂

关于Google V8引擎远程代码执行误差导致微信等软件保存关联误差的清静通告

宣布时间：：：2021-04-19 00:00:00 作者：：：admin

2021年4月17日，国家信息清静误差共享平台（CNVD）收录了微信Windows客户端远程代码执行误差（CNVD-2021-29068）。。攻击者使用该误差，通过发送垂纶链接并引诱用户点击，可获取远程主机控制权限。。现在，误差细节尚未公开，厂商已宣布新版本完成修复。。此误差是Google V8引擎历史误差的衍生关联误差。。

一、、误差情形剖析

美国谷歌（Google）公司开发维护的V8引擎是一款开源JavaScript引擎，通过将JavaScript代码编译成原生气械码，并使用内联缓存等多种手艺提高剧本的编译和执行性能。。V8引擎支持多操作系统，具有较好的可移植和跨平台特征。。V8引擎支持多种宿主情形的嵌入，实现JavaScript语言在多个领域中的应用。。

V8引擎不但被普遍应用于Google Chrome、、Microsoft Edge等网页浏览器软件中，并且在内置网页浏览功效的软硬件（服务）产品中获得了普遍应用，异步服务器框架Node.js也使用V8引擎剖析JavaScript。。V8引擎保存的清静缺陷会对内嵌V8引擎的软硬件产品和服务造成影响，导致关联误差的爆发。。

近几年，V8引擎曾多次被研究者发明保存高危误差。。其中，Google V8引擎远程代码执行误差（CNVD-2021-29059，对应CVE-2021-21220）相关细节已公开，谷歌公司尚未宣布新版本修复该误差。。未经身份验证的攻击者使用该误差，可通过全心结构恶意页面，诱导受害者会见，实现对浏览器的远程代码执行或者拒绝服务攻击,但攻击者单独使用上述误差无法实现沙盒（SandBox）逃逸。。沙盒是Google Chrome浏览器的清静界线，防止恶意攻击代码破损用户系统或者浏览器其他页面。。沙盒�；；つＪ皆贕oogle Chrome浏览器中默认开启。。CNVD对该误差的综合评级为“高危”。。

2021年4月17日，国家信息清静误差共享平台收录了微信Windows客户端远程代码执行误差，此误差是Google V8引擎历史误差的衍生关联误差。。微信客户端（Windows版本）使用V8引擎剖析JavaScript代码，并关闭了沙盒模式（--no-sandbox参数)。。攻击者使用上述误差，结构恶意垂纶链接并通过微信发送，在引诱受害者使用微信客户端（Windows版）点击垂纶链接后，可获取远程主机的控制权限，实现远程代码执行攻击。。CNVD对该误差的综合评级为“高危”。。

二、、误差影响规模

Google V8引擎误差导致的关联误差产品包括：：：

GoogleChrome < = 90.0.4430.72

MicrosoftEdge正式版（ 89.0.774.76）

微信Window版客户端 < 3.2.1.141

内嵌V8引擎的软硬件产品和服务

三、、误差处理建议

现在，谷歌、、微软公司尚未宣布新版本修复关联误差，CNVD建议用户使用Chrome、、Edge等浏览器时不要关闭默认的沙盒模式，审慎会见泉源不明的文件或网页链接，并实时关注厂商的更新通告。。

腾讯公司已宣布微信新版本修复该误差，建议用户连忙将微信（Windows版）更新至最新版本。。

产品内嵌谷歌V8引擎的软硬件（服务）厂商应对集成的V8引擎版本举行自查，更新引擎至最新版本，同时实时关注谷歌公司的清静更新通告，并通过沙盒模式挪用该引擎。。

附：：：参考链接：：：

https://twitter.com/frust93717815/status/1382301769577861123

https://www.google.com/chrome/

https://mp.weixin.qq.com/s/qAnxwM1Udulj1K3Wn2awVQ

https://paper.seebug.org/1557/

bti体育

关于Google V8引擎远程代码执行误差导致微信等软件保存关联误差的清静通告

宣布时间：：：2021-04-19 00:00:00 作者：：：admin

宣布时间：：：2021-04-19 00:00:00 作者：：：admin