CVE-2021-4102：Google Chrome 代码执行漏洞

报告编号：B6-2021-121401

报告来源：360CERT

报告作者：360CERT

更新日期：2021-12-14

1 漏洞简述

2021年12月14日，360CERT 监测发现Google发布了安全更新，漏洞编号为CVE-2021-4102，漏洞等级：高危，漏洞评分：8.5，该漏洞已存在在野利用。

Google Chrome 是由 Google 开发的一款设计简单、高效的 Web 浏览工具，特点是简洁、快速。GoogleChrome支持多标签浏览，每个标签页面都在独立的“沙箱”内运行，在提高安全性的同时，一个标签页面的崩溃也不会导致其他标签页面被关闭。此外，Google Chrome基于更强大的JavaScript V8引擎，这是当前Web浏览器所无法实现的。

对此，360CERT建议广大用户及时将Google Chrome升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	8.5

3 漏洞详情

CVE-2021-4102: Google Chrome代码执行漏洞

CVE: CVE-2021-4102

组件: Chrome

漏洞类型: 代码执行

影响: 代码执行

简述: Chrome V8 JavaScript 引擎中存在一个UAF（Use-After-Free）漏洞，此类漏洞主要与操作过程中对动态内存的错误使用有关。若在释放内存位置后，程序没有清除指向这里的指针，攻击者便可利用这一 漏洞来入侵该程序，然后执行任意代码或逃脱浏览器安全沙箱的控制。

4 影响版本

组件	影响版本	安全版本
Google Chrome	< 96.0.4664.110	96.0.4664.110

5 修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本。

具体操作路径：

Chrome 菜单 > 帮助 > 关于 Google

Chrome 检查更新

6 时间线

2021-12-13 Google 官方发布通告

2021-12-14 360CERT 发布通告

7 参考链接

1、https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html