谷歌修复由苹果报送的严重 Chrome 漏洞

本周二，谷歌和 Mozilla 宣布为 Chrome 和 Firefox web 浏览器发布安全更新，其中一些漏洞为严重级别。

谷歌发布 Chrome 130，修复了两个漏洞。其中一个漏洞是CVE-2024-10487，是位于 WebGPU 标准跨平台实现Dawn 中的一个严重的界外写问题。该漏洞由苹果公司的安全工程和架构 (SEAR) 团队在一周前报送。对 WebGPU 图形API 的不同实现也用于Firefox 和 Safari，但目前尚不清楚后者是否也受该漏洞影响。

虽然目前尚不清楚CVE-2024-10487的利用场景，但通常来讲利用界外写问题可导致任意代码执行后果。谷歌并未提到任何在野利用信息。

第二个漏洞是CVE-2024-10488，它是位于 WebRTC 中的高危释放后使用漏洞。谷歌尚未确定这两个漏洞的赏金金额。

周二，Mozilla 发布 Firefox 132 和 Thunderbird 132，均修复了11个相同的漏洞，其中两个是高危级别。其中一个漏洞是许可泄露漏洞CVE-2024-10458，另外一个漏洞是可导致可利用崩溃的UAF漏洞CVE-2024-10459。余下漏洞是中低危漏洞，如遭利用可导致欺骗、XSS攻击、数据泄露、DoS 条件和任意代码执行后果。