据Cyber Security News消息，最近，独立研究人员在谷歌Chrome 的 V8 JavaScript 引擎中发现了一个严重性较高的类型混淆漏洞。 该漏洞被追踪为 CVE-2024-12053，当程序为一种数据类型分配内存，却错误地将其视为另一种数据类型时，就会出现类型混淆漏洞。 攻击者可能利用此漏洞在受影响的系统上执行远程代码，从而导致系统受损和数据盗窃。 谷歌已在其最新的 Chrome 更新中迅速解决了该问题，包括适用于 Windows 和 Mac 的 131.0.6778.108/.109版本 ，以及适用于 Linux 的 131.0.6778.108版本。这些更新将在未来几天至几周内推出。 虽然谷歌没有提供利用这一漏洞进行攻击的具体细节，但该公司通常会限制此类信息，直到大多数用户更新了浏览器以降低潜在风险。 Chrome 浏览器的安全团队强调了他们正在进行的内部安全工作的重要性，通过审计、模糊处理和其他措施，他们已经修复了各种问题。 而该漏洞的发现者“gal1ium”和“chluo”因此获得了8000美元奖金，他们于2024 年 11 月 14 日对这一问题进行了报告。根据今年谷歌新发布的Chrome 漏洞赏金计划，新的奖励机制将发现重大漏洞的最高奖金提高到了25万美元，相比之前最高4万美元有了大幅提升。 谷歌Chrome 今年已修复了10个零日漏洞 截至今年8月26日，谷歌Chrome 已经修复了今年的第10个零日漏洞。这些漏洞包括： CVE-2024-0519：Chrome 浏览器 V8 JavaScript 引擎存在一个严重的越界内存访问漏洞，允许远程攻击者通过特制的 HTML 页面利用堆破坏，导致未经授权访问敏感信息。 CVE-2024-2887：WebAssembly (Wasm) 标准中的高严重性类型混乱漏洞。该漏洞可导致利用伪造的 HTML 页面进行远程代码执行 (RCE) 的漏洞。 CVE-2024-2886：网络应用程序用于编码和解码音频和视频的 WebCodecs API 存在使用后即释放漏洞。 CVE-2024-4671：在处理浏览器中内容的呈现和显示的 Visuals 组件中存在一个高严重性的 use-after-free 缺陷。 CVE-2024-3159：Chrome V8 JavaScript 引擎中的越界读取导致的高严重性漏洞。 CVE-2024-4761：Chrome 浏览器的 V8 JavaScript 引擎中存在越界写入问题，该引擎负责在应用程序中执行 JS 代码。 CVE-2024-4947：Chrome V8 JavaScript 引擎中的类型混乱，可安装任意代码。 CVE-2024-5274：Chrome 浏览器 V8 JavaScript 引擎的一种混乱，可能导致崩溃、数据损坏或任意代码执行。 CVE-2024-7965：Chrome  V8 JavaScript 引擎中的一个不恰当实现，可让远程攻击者通过制作 HTML 页面造成堆内存损坏。 CVE-2024-7971：Chrome  V8 JavaScript 引擎中存在类型混乱，可让远程攻击者通过制作 HTML 页面造成堆内存损坏。     转自Freebuf，原文链接：https://www.freebuf.com/news/416908.html 封面来源于网络，如有侵权请联系删除

微软部署了多项措施以增强 Windows 11 系统的安全，并为 Edge 浏览器引入了诸如“Enhanced Security”等安全功能。不过近日反病毒解决方案提供商 Malwarebytes 发现了一个恶意活动，通过在 Edge 浏览器中“My Feed” 区域植入恶意广告来实现科技支持诈骗。 上图是恶意广告活动的屏幕截图，其中显示了一个虚假的浏览器储物柜页面以欺骗潜在的受害者。下图显示了解释活动如何运作的步骤。该广告软件的运行方式很聪明，因为 Malwarebytes 发现恶意广告横幅仅将潜在目标重定向到技术支持诈骗页面。 同时，机器人、VPN 和地理位置会显示在由 Taboola 广告网络提供支持的实际广告页面中。该公司指出，差异化是在 base64 编码的 JavaScript 字符串的帮助下实现的。 在短短 24 小时内，Malwarebytes 设法收集了 200 多个不同的主机名。其中一个相关域与一个似乎是在印度德里运营的软件公司的主管的个人相关联。您可以在 Malwarebytes 关于该主题的博客文章中找到有关此恶意广告活动的更多详细信息。   转自 CnBeta，原文链接：https://www.cnbeta.com/articles/tech/1316813.htm 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： 网络安全公司卡巴斯基的最新发现显示，超过131万用户至少一次试图安装恶意或不需要的Web浏览器扩展。 该公司表示：“从2020年1月到2022年6月，超过430万独立用户受到隐藏在浏览器扩展中的广告软件的攻击，约占所有用户中受恶意和不需要的附加组件影响的70%。” 根据卡巴斯基的遥测数据，2022年上半年，多达1311557名用户属于这一类别。相比之下，这类用户的数量在2020年达到峰值3660236名，其次是2021年的1823263个独立用户。 最普遍的威胁是一系列称为WebSearch的广告软件，它伪装成PDF查看器和其他实用程序，并具有收集和分析搜索查询，以及将用户重定向到附属链接的功能。 WebSearch还因修改浏览器的起始页而闻名，该页面包含搜索引擎和许多指向第三方来源的链接，如AliExpress，当受害者点击这些链接时，会帮助扩展开发人员通过附属链接赚钱。 卡巴斯基指出：“此外，该扩展将浏览器的默认搜索引擎修改为search.myway[.]com，它可以捕获用户查询，收集并分析它们。根据用户搜索的内容，大多数相关的合作伙伴网站将在搜索结果中积极推广。” 第二组扩展涉及一种名为AddScript的威胁，该威胁以视频下载程序的名义隐藏其恶意功能。虽然附加组件确实提供了广告功能，但它们也旨在联系远程服务器以检索和执行任意JavaScript代码。 此外，还发现了FB Stealer等窃取信息的恶意软件，其目的是窃取登录用户的Facebook登录凭据和会话cookie。FB Stealer在2022年上半年造成了3077起独特的感染尝试。 该恶意软件主要针对搜索引擎上寻找破解软件的用户，FB Stealer通过名为NullMixer的特洛伊木马交付，该木马通过非官方破解软件安装程序传播，如SolarWinds Broadband Engineers Edition。 研究人员说：“FB Stealer是由恶意软件而不是由用户安装的，一旦添加到浏览器中，它就会模仿无害且外观标准的Chrome扩展程序Google Translate。” 这些攻击也是出于经济动机。恶意软件操作人员在获得身份验证cookie后，登录到目标的Facebook帐户，并通过更改密码来劫持该帐户，从而有效地锁定了受害者。然后，攻击者可以滥用访问权限向受害者的朋友要钱。 一个多月前，Zimperiumm披露了一个名为ABCsoup的恶意软件家族，它伪装成Google Translate扩展程序，作为针对谷歌Chrome、Opera和Mozilla Firefox浏览器俄罗斯用户的广告软件活动的一部分。 为使Web浏览器免受感染，建议用户坚持使用可信来源下载软件，检查扩展权限，并定期查看和卸载“您不再使用或无法识别”的加载项。   消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文