Chrome, risolta falla 0-day già sfruttata: è la seconda in un mese. Ecco cosa fare

A circa un mese dal rilascio dell'ultima patch per una falla 0-day su Chrome, Google ha mandato in distribuzione un nuovo fix per un'altra vulnerabilità dello stesso tipo, e anche in questo caso Big G ha dichiarato che si tratta di un bug già sfruttato attivamente.

Scoperta falla 0-day su Chrome, cosa fare?

Per proteggersi dalla vulnerabilità è sufficiente installare l'ultima versione di Chrome rilasciata lo scorso martedì per Windows, macOS e Linux. E' possibile aggiornare Google Chrome manualmente dalle Impostazioni, nella pagina Informazioni su Chrome che, una volta raggiunta, farà partire automaticamente il download dell'ultima versione disponibile. La stessa pagina è raggiungibile digitando nella barra degli indirizzi la stringa "chrome://settings/help".

Chrome 89.0.4389.72 contiene 47 aggiornamenti di sicurezza e una fra le più gravi viene descritta così: "Object lifecycle issue in audio". Contrassegnata come CVE-2021-21166, la nuova falla di sicurezza corretta è una delle due segnalate da Alison Huffman di Microsoft Browser Research nella prima metà di febbraio. Una vulnerabilità nella stessa componente era stata riportata a Google qualche giorno prima, ma ad oggi non è chiaro se si tratta dello stesso bug appena corretto.

Google ha ammesso che la vulnerabilità è stata già sfruttata attivamente, e ha preferito non rilasciare dettagli in attesa che la maggior parte degli utenti installino l'ultima versione del browser, impedendo così ad ulteriori attori malevoli di creare nuovi exploit ad-hoc. Dall'inizio del 2021 questa è la seconda falla 0-day scoperta sul browser di Google, dopo il bug heap overflow scoperto nel motore JavaScript V8 integrato su Chrome. Lo scorso anno, solo nel periodo fra il 20 ottobre e il 12 novembre, erano attive ben 5 falle 0-day sul browser della Grande G, il più diffuso al mondo.