Google Chrome vá 83 lỗ hổng bảo mật, bao gồm 5 lỗi RCE nghiêm trọng

• Phạm vi ảnh hưởng: Bản cập nhật xử lý 83 lỗ hổng bảo mật trên các nền tảng Windows, macOS và Linux.
• Mức độ nghiêm trọng: 5 lỗ hổng được xếp hạng Critical (nghiêm trọng) liên quan đến lỗi Use-after-free, có khả năng bị khai thác để thực thi mã từ xa (RCE).
• Thành phần bị ảnh hưởng: Các lỗi tập trung vào trình kết xuất (rendering), đồ họa, xử lý JavaScript và các tính năng cốt lõi của trình duyệt.
• Khuyến nghị: Người dùng và quản trị viên hệ thống cần cập nhật ngay lên phiên bản 157.0.8103.78/.79 để đảm bảo an toàn.

Google vừa chính thức phát hành bản cập nhật bảo mật quan trọng cho trình duyệt Chrome, giải quyết tổng cộng 83 lỗ hổng bảo mật khác nhau. Đây là một đợt vá lỗi quy mô lớn, ảnh hưởng trực tiếp đến tính toàn vẹn của trình duyệt trên các hệ điều hành phổ biến như Windows, macOS và Linux. Các chuyên gia an ninh mạng nhấn mạnh rằng việc triển khai bản vá này là ưu tiên hàng đầu đối với cả người dùng cá nhân và các hệ thống doanh nghiệp được quản lý tập trung.

Phân tích kỹ thuật về các lỗ hổng nghiêm trọng

Trong số 83 lỗ hổng được công bố, có 5 lỗ hổng được xếp hạng Critical. Điểm chung của các lỗ hổng này là lỗi Use-after-free (UAF). Đây là một dạng lỗi bộ nhớ xảy ra khi phần mềm tiếp tục truy cập vào một vùng nhớ sau khi nó đã được giải phóng. Nếu kẻ tấn công có khả năng kiểm soát cách bộ nhớ đó được tái sử dụng, chúng có thể gây ra sự cố treo ứng dụng, làm hỏng dữ liệu hoặc thực thi mã độc hại trên thiết bị của nạn nhân.

Dưới đây là danh sách 5 lỗ hổng nghiêm trọng nhất được ghi nhận trong đợt cập nhật này:

Các thành phần bị ảnh hưởng bao gồm ServiceWorker, CSS, Layout, Skia và Accessibility. Đây là những thành phần cốt lõi hỗ trợ các tác vụ nền, định dạng trang, bố cục, đồ họa và các tính năng hỗ trợ người dùng. Việc khai thác thành công các lỗ hổng này có thể dẫn đến tình trạng Remote Code Execution (RCE), cho phép kẻ tấn công chiếm quyền điều khiển trình duyệt hoặc thực thi các lệnh tùy ý.

Vai trò của nghiên cứu bảo mật hỗ trợ bởi AI

Đáng chú ý, một số báo cáo trong đợt cập nhật này ghi nhận sự đóng góp từ các nhà nghiên cứu của Anthropic với sự hỗ trợ của Claude và OpenAI Codex Security. Điều này cho thấy xu hướng ứng dụng trí tuệ nhân tạo trong việc phát hiện và xác thực các lỗ hổng phần mềm đang ngày càng trở nên phổ biến. Tuy nhiên, thông tin chi tiết về cách thức các công cụ AI này xác định lỗ hổng vẫn chưa được công bố cụ thể.

Danh sách các lỗ hổng mức độ cao (High Severity)

Ngoài 5 lỗ hổng nghiêm trọng, bản cập nhật còn giải quyết 78 lỗ hổng khác ở mức độ cao. Các lỗ hổng này bao gồm nhiều dạng lỗi khác nhau như Type confusion, Buffer overflow, Out-of-bounds memory access, rò rỉ thông tin và thiếu kiểm tra ủy quyền. Các thành phần bị ảnh hưởng bao gồm V8, ANGLE, Extensions, FileSystem, MediaStream, PDF và SiteIsolation.

⚠️ Cảnh báo quan trọng: Mặc dù hiện tại chưa có bằng chứng về việc các lỗ hổng này đang bị khai thác trong thực tế (in-the-wild), nhưng với số lượng lớn các lỗi bộ nhớ, nguy cơ bị tấn công là rất cao. Người dùng cần thực hiện cập nhật ngay lập tức thông qua menu Help > About Google Chrome.

Hướng dẫn phòng thủ và cập nhật

Đối với các quản trị viên hệ thống (System Administrators), việc đảm bảo tất cả các máy trạm trong mạng doanh nghiệp được cập nhật lên phiên bản mới nhất là yêu cầu bắt buộc. Không nên giả định rằng tính năng tự động cập nhật sẽ hoạt động hoàn hảo trên mọi thiết bị. Hãy sử dụng các công cụ quản lý tập trung để kiểm tra và triển khai bản vá đồng bộ.

Để kiểm tra phiên bản hiện tại và kích hoạt cập nhật, người dùng có thể thực hiện theo các bước sau:

1. Mở trình duyệt Google Chrome.
2. Nhấp vào biểu tượng ba chấm ở góc trên bên phải, chọn Help.
3. Chọn About Google Chrome.
4. Trình duyệt sẽ tự động kiểm tra và tải về phiên bản mới nhất.
5. Nhấn Relaunch để hoàn tất quá trình cài đặt.

Để biết thêm chi tiết về quy trình công bố lỗ hổng và các hướng dẫn bảo mật chuyên sâu, bạn có thể tham khảo thêm tại Chromium Security Page. Việc duy trì sự cảnh giác và cập nhật bản vá kịp thời là lớp phòng thủ quan trọng nhất để ngăn chặn các cuộc tấn công mạng nhắm vào trình duyệt.