近日，安全研究人员Rajvardhan Agarwal在Twitter上发布了一个0-day漏洞利用代码，可在当前版本的Google Chrome和Microsoft Edge上运行。受该漏洞影响的浏览器包括Google Chrome，Microsoft Edge和其他基于Chromium的浏览器（如Opera和Brave）。
Agarwal指出该漏洞是基于Chromium浏览器中V8 JavaScript渲染引擎的远程执行代码漏洞， 在基于Chromium的浏览器中加载PoC HTML文件及其相应的JavaScript文件时，它将利用此漏洞启动Windows计算器（calc.exe）程序。
据称该漏洞与上周在Pwn2Own 2021黑客大赛上Bruno Keith和Niklas Baumstark所使用的漏洞相同，都是在Chrome和Edge中运行恶意代码。
虽然没有关于披露该漏洞的详细信息，但据Agarwal表示，他是通过V8 JavaScript引擎的源代码发现了该漏洞的补丁，从而对Pwn2Own进行复现。Agarwal在今天将利用代码上传到Github，并在Twitter进行了分享。
Agarwal指出该漏洞已在V8 JavaScript引擎的最新版本中修复，但补丁并未集成到基于Chromium的浏览器（如Chrome，Edge等）的正式版本中。在修复补丁推出期间，这些浏览器仍然容易受到攻击，这可能会对Chrome，Edge和其他Chromium浏览器用户带来问题。
值得一提的是，Agarwal发布的0-day漏洞目前无法进行浏览器沙箱逃逸，Chrome沙箱是浏览器的安全边界，可有效防止远程执行代码漏洞在主机上启动程序。
预计Google将在明天的稳定版中发布Chrome 90，，但暂不清楚该版本是否包含针对V8漏洞的补丁。
（每日更新整理国内外威胁情报快讯，帮助威胁研究人员了解及时跟踪相关威胁事件）
安恒威胁情报中心：专注于提供威胁数据与分析服务
微信公众号：安恒威胁情报中心
本文暂时没有评论，来添加一个吧(●'◡'●)