Chrome 154 vá 108 lỗ hổng bảo mật, trong đó có 11 lỗi nghiêm trọng

Google vừa tung ra bản cập nhật Chrome 154 cho kênh ổn định, mang theo bản vá cho tổng cộng 108 lỗ hổng bảo mật. Đáng chú ý, có tới 11 lỗi được xếp vào mức độ nghiêm trọng (critical) — con số không hề nhỏ đối với một bản phát hành trình duyệt thông thường.

Chrome vá lỗ hổng bảo mật

11 lỗi nghiêm trọng và hàng loạt lỗi mức cao

Trong số các lỗi nghiêm trọng, Google liệt kê các vấn đề tràn bộ đệm (buffer overflow) — ba lỗi trong ANGLE và một trong WebGL — cùng các lỗi ghi ngoài phạm vi (out-of-bounds write) ở GPU (hai lỗi) và WebGL (một lỗi). Bên cạnh đó là các lỗi use-after-free xuất hiện ở ServiceWorker, Fullscreen, WindowDialog và AdFilter.

Đáng chú ý, chín trong số các lỗi nghiêm trọng được báo cáo bởi các nhà nghiên cứu bên ngoài. Tổng cộng có 32 lỗi trong đợt vá này đến từ cộng đồng bảo mật bên ngoài, phần còn lại do chính Google phát hiện nội bộ.

Về phần thưởng, Google cho biết đã chi 18.000 USD cho các nhà nghiên cứu đã báo cáo lỗi. Tuy nhiên, con số cuối cùng có thể cao hơn nhiều, bởi công ty vẫn chưa xác định được mức tiền thưởng cho phần lớn các lỗi được báo cáo từ bên ngoài.

25 lỗi mức cao và các lỗi còn lại

Ngoài nhóm lỗi nghiêm trọng, bản cập nhật còn vá 25 lỗ hổng mức độ cao (high-severity), bao gồm một tá lỗi use-after-free, cùng nhiều vấn đề nhầm lẫn kiểu dữ liệu (type confusion), tài nguyên chưa khởi tạo và tràn bộ đệm.

Các lỗi mức cao khác cũng đã được xử lý như: thiếu cấp quyền, diễn giải sai giao diện người dùng (UI misinterpretation), cấp quyền không chính xác, mã hóa đầu ra không đúng cách, điều kiện tranh chấp (race condition) và ghi ngoài phạm vi.

Phần còn lại là các lỗ hổng mức trung bình và thấp liên quan đến cấp quyền, kiểm tra dữ liệu đầu vào, hiển thị sai giao diện, hỏng bộ nhớ, rò rỉ thông tin và an toàn bộ nhớ.

Google không đề cập đến việc bất kỳ lỗ hổng nào trong số này đang bị khai thác ngoài thực tế. Tuy nhiên, người dùng vẫn được khuyến nghị cập nhật trình duyệt càng sớm càng tốt.

Cách cập nhật và lưu ý cho người dùng Việt Nam

Bản Chrome mới nhất hiện đang được triển khai với các phiên bản 154.0.8037.57/.58 cho Windows và macOS, và 154.0.8037.57 cho Linux.

Người dùng Việt Nam có thể kiểm tra và cập nhật bằng cách vào menu Chrome > Trợ giúp > Giới thiệu về Google Chrome, trình duyệt sẽ tự động tải bản vá mới nếu có. Với số lượng lỗ hổng lớn và mức độ nghiêm trọng cao như lần này, việc cập nhật ngay là điều nên làm — đặc biệt với những ai thường xuyên truy cập các trang web lạ hoặc dùng Chrome cho công việc nhạy cảm.

Bảo mật trình duyệt

Việc Google liên tục tung ra các bản vá quy mô lớn cho thấy áp lực ngày càng tăng trong việc duy trì an toàn cho trình duyệt — vốn là cửa ngõ chính mà người dùng tiếp xúc với internet mỗi ngày.