風(fēng)險(xiǎn)通告

　　2021年4月14日，奇安信CERT監(jiān)測(cè)到互聯(lián)網(wǎng)上公開(kāi)了一份V8引擎遠(yuǎn)程代碼執(zhí)行0day漏洞POC，經(jīng)測(cè)試，該漏洞影響Chrome最新正式版（89.0.4389.128）以及基于Chromium內(nèi)核的Microsoft Edge正式版（89.0.774.76）。攻擊者可通過(guò)構(gòu)造特制web頁(yè)面并誘導(dǎo)受害者訪(fǎng)問(wèn)來(lái)利用此漏洞獲得遠(yuǎn)程代碼執(zhí)行。需要注意的是，此枚漏洞與4月13日的0Day漏洞不是同一個(gè)漏洞。鑒于該漏洞目前處于0Day漏洞狀態(tài)，強(qiáng)烈建議客戶(hù)盡快采取臨時(shí)解決方案以避免受此漏洞影響。

　　漏洞描述

　　Google Chrome是由Google開(kāi)發(fā)的免費(fèi)網(wǎng)頁(yè)瀏覽器。經(jīng)測(cè)試，此漏洞影響 Chrome 最新正式版（89.0.4389.128）以及基于Chromium內(nèi)核的Microsoft Edge正式版（89.0.774.76）。攻擊者可通過(guò)構(gòu)造特制web頁(yè)面并誘導(dǎo)受害者訪(fǎng)問(wèn)來(lái)利用此漏洞獲得遠(yuǎn)程代碼執(zhí)行。

　　奇安信CERT第一時(shí)間復(fù)現(xiàn)此漏洞，以下為Chrome最新正式版以及基于Chromium內(nèi)核的Microsoft Edge最新正式版下的復(fù)現(xiàn)截圖：

　　風(fēng)險(xiǎn)等級(jí)

　　奇安信 CERT風(fēng)險(xiǎn)評(píng)級(jí)為：高危

　　風(fēng)險(xiǎn)等級(jí)：藍(lán)色（一般事件）

　　影響范圍

　　Google Chrome <= 89.0.4389.128

　　基于Chromium內(nèi)核的Microsoft Edge <= 89.0.774.76

　　其他基于V8引擎的瀏覽器

　　處置建議

　　鑒于該漏洞目前處于0Day漏洞狀態(tài)，無(wú)相應(yīng)的漏洞補(bǔ)丁，用戶(hù)采取如下臨時(shí)解決方案以避免受漏洞所導(dǎo)致風(fēng)險(xiǎn)影響：

　　1. 慎重打開(kāi)來(lái)源不明的文件或網(wǎng)頁(yè)鏈接。

　　2. 暫時(shí)停止使用V8相關(guān)引擎的瀏覽器，如Chrome、基于Chromium內(nèi)核的Microsoft Edge，換Firefox等瀏覽器。