谷歌补丁“in-the-wild” Chrome 零日漏洞 - 立即更新！

谷歌对 Chrome 浏览器的最新更新修复了不同数量的错误，具体取决于您是否在 Android, Windows或Mac，并且取决于您是在运行“稳定通道”还是“扩展稳定通道“。

如果您发现过多的 Google 博客文章令人困惑，请不要担心……

…我们也这样做了，所以我们试图在下面提供一个多合一的摘要。

稳定的频道 是最新版本，包括所有新的浏览器功能，目前已编号 铬103的.

扩展稳定通道 将自己标识为 铬102的，并且没有最新的功能，但有最新的安全修复。

上面列出的三个公告中列出了三个 CVE 编号的错误：

• CVE-2022-2294： WebRTC 中的缓冲区溢出. 一个零日漏洞，网络犯罪协会已经知道并在野外积极利用。 此错误出现在上面列出的所有版本中：Android、Windows 和 Mac，包括“稳定”和“扩展稳定”两种版本。 实现WebRTC 是“网络实时通信”的缩写，您使用的许多音频和视频共享服务都使用它，例如远程会议、网络研讨会和在线电话通话。
• CVE-2022-2295： V8 中的类型混淆. 期限 V8 指的是 Google 的 JavaScript 引擎，任何包含 JavaScript 代码的网站都使用该引擎，到 2022 年，几乎所有网站都使用该引擎。 此错误出现在 Android、Windows 和 Mac 中，但显然仅出现在 Chrome 103 版本（“稳定通道”）中。
• CVE-2022-2296： Chrome OS Shell 中的免费使用后. 这被列为适用于 Windows 和 Mac 上的“稳定通道”，尽管 Chrome OS shell 顾名思义是 Chrome操作系统，它既不是基于 Windows 也不是基于 Mac。

此外，谷歌还修补了一堆非 CVE 编号的错误，这些错误统称为 错误号 1341569.

这些补丁提供了大量基于“内部审计、模糊测试和其他举措”的主动修复，这很可能意味着它们以前不为其他任何人所知，因此从未（也不再可能）变成零——天洞，这是个好消息。

Linux 用户尚未在本月的公告中提及，但尚不清楚这是因为这些错误都不适用于 Linux 代码库，还是因为补丁还没有为 Linux 准备好，或者因为这些错误还没有准备好被认为足够重要以获取特定于 Linux 的修复程序。

错误类型解释

为您提供上述重要错误类别的快速词汇表：

• 缓冲区溢出。 这意味着攻击者提供的数据会被转储到一个不足以容纳发送量的内存块中。 如果额外的数据最终“溢出”到软件其他部分已经使用的内存空间中，它可能（或在这种情况下确实）故意和背叛地影响浏览器的行为。
• 类型混乱。 想象一下，您正在提供诸如“产品价格”之类的数据，浏览器应该将其视为一个简单的数字。 现在想象一下，您稍后可以欺骗浏览器使用您刚刚提供的数字，就好像它是内存地址或文本字符串一样。 通过检查以确保它是合法价格的数字可能不是有效的内存地址或文本字符串，因此如果没有以不同数据类型为幌子的诡计，就不会被接受。 通过输入“检查时有效但使用时无效”的数据，攻击者可以故意破坏浏览器的行为。
• 免后使用。 这意味着浏览器的一部分在将一块内存交还给系统以在其他地方重新分配后错误地继续使用它。 结果，已经检查过安全性的数据（通过假定它“拥有”相关内存的代码）最终可能会在它被使用之前被偷偷修改，从而诡谲地影响浏览器的行为。

怎么办呢？

Chrome 可能会自行更新，但我们始终建议您进行检查。

在 Windows 和 Mac 上，使用 更多 > 政策和帮助 > 关于谷歌Chrome浏览器 > 更新Google Chrome.

在 Android 上，检查您的 Play 商店应用程序是否是最新的。

更新后，您正在寻找版本 102.0.5005.148 如果您使用的是“扩展稳定”版本； 103.0.5060.114 如果你在“稳定”的轨道上； 和 103.0.5060.71 在Android上。

在 Linux 上，我们不确定要注意哪个版本号，但您不妨这样做 政策和帮助 > 关于 > 更新 无论如何，安全舞蹈，以确保您现在获得最新版本。