CVE-2020-6418: Chrome V8引擎远程代码执行漏洞通告

2020-03-05 11:44

报告编号：B6-2020-030501

报告来源：360-CERT

报告作者：360-CERT

更新日期：2020-03-05

0x01 漏洞背景

2020年03月05日， 360CERT监测发现 Chrome 一枚远程代码执行漏洞细节已在互联网上公开。该漏洞编号为 CVE-2020-6418 。

该漏洞是 Chrome V8 引擎中出现的一例类型混淆漏洞。攻击成功可导致远程代码执行。

360CERT对该漏洞进行评定

评定方式	等级
威胁等级	高危
影响面	有限

Google 报告称该漏洞已存在在野使用情况。

360CERT建议广大用户及时更新 Chrome 软件版本。做好资产自查/自检/预防工作，以免遭受攻击。

该漏洞还需配合一枚 Chrome 沙箱逃逸漏洞，方可完全控制 Chrome

此处仅演示漏洞效果

Chrome 版本 80.0.3987.116 运行参数 --no-sandbox

Chrome < 80.0.3987.122

更新 Chrome 至 80.0.3987.122 并确保 Chrome 自动更新开启

在 Chrome 地址栏输入 chrome://settings/help 即可进行软件更新

针对该漏洞，windows用户可通过360安全卫士实现应用程序自动更新安装，其他平台的用户可以根据修复建议列表中的产品更新版本对存在漏洞的产品进行更新。

2020-02-24 Chrome 发布新版 Release

2020-03-05 360CERT发布预警