Google 日前發布因應 Chrome 網路瀏覽器元件發現零時差（Zero-Day）漏洞的修補程式，正被駭客大加利用。Google Project Zero 安全抓漏團隊技術負責人 Ben Hawkes 警告指出，漏洞已鎖定 Chrome，但未提供有關攻擊的更多詳細資訊。
漏洞由 Project Zero 安全研究員 Sergei Glazunov 通報，由於駭客積極展開攻擊活動，所以有必要 7 天內對外公布。它會影響 Chrome 常用的開放原始碼 FreeType 3D 渲染引擎，並可透過嵌入 PNG 圖片的特製字體發動漏洞攻擊。PNG 圖片檔案表頭獲得的寬度和高度值截斷成 16 位元，並計算產生點陣圖的大小，但函式庫程式瑕疵卻導致堆積緩衝區溢位（Heap Buffer Overflow）的錯誤狀況。
「問題在於 libpng 影像庫使用原始的 32 位元值，這些值儲存在「png_struct」。因此，如果原始寬度或高度大於 65535，那麼分配的緩衝區將無法容下點陣圖。」Glazunov 抓漏報告寫道。Glazunov 並發布帶有概念驗證的字體檔。
FreeType 零時差漏洞之外，Google 也修補了 Chrome 瀏覽器 Blink 渲染引擎的重大級漏洞，並修復 PDFium 渲染引擎及瀏覽器媒體與列印功能 3 個濫用釋放記憶體（Use-After-Free，UAF）毀損漏洞。適用於 Windows、macOS 和 Linux 發行版的修補版 Chrome 的版本號為 86.0.4240.11。由於 FreeType 渲染引擎中出現這個漏洞，Google 建議凡使用該字體渲染引擎的廠商更新至 2.10.4 修正版。
（首圖來源：科技新報）
