החולשה הזאת נסגרה עוד ב-2021, בכרום 95.0.4638.69. היא יושבת ב-V8, מנוע ה-JavaScript של הדפדפן, ולפי הרשומה עמוד אינטרנט בנוי במיוחד יכול היה לשבש דרכה את הזיכרון של הדפדפן. הציון הוא 8.8 מתוך 10, ו-CISA סימנה אותה כמנוצלת בפועל עוד בנובמבר 2021.

מה החולשה?

כשתוכנה נתקלת במצב שלא תוכנן, למשל קלט שאינו בצורה שהיא ציפתה לה, היא אמורה לעצור ולטפל בו בצורה מסודרת. הרשומה מתארת מימוש שגוי ב-V8 בדיוק בנקודה כזאת, ולסוג הכשל הזה קוראים טיפול שגוי במצבי חריגה, CWE-755.

התוצאה שהרשומה מציינת היא שיבוש של ה-heap, אזור הזיכרון שהתוכנה מקצה לעצמה בזמן ריצה עבור נתונים שגודלם אינו ידוע מראש. שיבוש שם אינו סתם קריסה. תוקף שמצליח לשלוט במה שנכתב ובאיזה מקום יכול לגרום לדפדפן להתייחס לנתונים שלו כאילו היו חלק מהתוכנה, וזו נקודת הפתיחה להרצת קוד.

כדאי לשים לב לניסוח של NVD. הרשומה אומרת שתוקף מרחוק היה יכול לנצל את שיבוש הזיכרון, בלשון זהירה, בזמן ש-CISA כבר כללה את החולשה ברשימת המנוצלות בפועל. שתי האמירות אינן סותרות. הפער ביניהן הוא הפער הרגיל בין תיאור טכני שנמנע מלהתחייב לבין מי שסופר מה קרה בשטח.

מי מושפע?

הגרסאות שברשומה הן כרום שלפני 95.0.4638.69. לצידן מופיעות גם חבילות הדפדפן של Debian 10 ו-11 ושל Fedora 34, שקיבלו עדכונים משל עצמן.

בפועל, מי שגולש בכרום שמתעדכן לבד קיבל את התיקון לפני שנים, וזו התשובה הנכונה לרוב מי שמגיע לעמוד הזה. מה שמשאיר את הרשומה רלוונטית הוא דבר אחר: תיקון עוזר רק לתוכנה שקיבלה אותו בפועל, וגרסה שנעצרה בזמן נושאת את החולשה איתה הלאה. הרשומה עצמה עודכנה ב-NVD לאחרונה ביוני 2026, יותר מארבע שנים אחרי הפרסום.

האם מנוצלת בפועל?

כן. ב-3 בנובמבר 2021 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח, והמועד שנקבע לגופים הפדרליים לסגור אותה היה 17 בנובמבר 2021.

הסדר הכרונולוגי כאן מעניין. הכניסה לקטלוג קדמה בשלושה שבועות לפרסום הרשומה עצמה ב-NVD, ב-23 בנובמבר 2021, כלומר הניצול היה מוכר לפני שהתיאור הטכני הפורמלי היה זמין בכלל.

מה עושים?

אם אתם על כרום מודרני, אין כאן מה לעשות, והבדיקה לוקחת פחות מדקה: פתחו את תפריט שלוש הנקודות, בחרו עזרה ואז אודות Google Chrome, וראו שהמספר שמופיע גבוה מ-95.0.4638.69. כל גרסה שיצאה מאז סוגרת את החולשה.

במחשב Linux שמריץ את הדפדפן מחבילה של ההפצה, העדכון מגיע ממנהל החבילות ולא מגוגל. ההודעה של Debian היא DSA-5046, ושל Fedora נמצאת ברשימת ההודעות של הפרויקט.

המקרה שכן דורש תשומת לב הוא מחשב או מערכת שלא עודכנו מאז 2021, למשל כאלה שנשארו מאחור בגלל תוכנה שתלויה בגרסה מסוימת. הפרטים המקוריים מופיעים בדוח הבאג של כרום ובהודעת השחרור של גוגל.