【漏洞通告】V8类型混淆漏洞（CVE-2020-6418）
2020-03-02
一. 漏洞概述
2月25日，谷歌Chrome浏览器与微软Edge浏览器发布了安全更新，在Google Chrome浏览器80.0.3987.122以下与Microsoft Edge浏览器80.0.361.62以下的版本中，开源JavaScript和WebAssembly引擎V8中存在一个类型混淆漏洞（CVE-2020-6418），可能导致攻击者非法访问数据，从而执行恶意代码。有研究人员发现，在更新发布前，该漏洞就已经被攻击者用于实际攻击。目前漏洞细节已公开，请装有谷歌Chrome与微软Edge等使用V8引擎的浏览器用户进行防护。
参考链接：
https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop_24.html
https://docs.microsoft.com/zh-cn/deployedge/microsoft-edge-relnotes-security
二、影响范围
受影响版本
- Google Chrome < 80.0.3987.122
- Microsoft Edge < 80.0.361.62
不受影响版本
- Google Chrome >= 80.0.3987.122
- Microsoft Edge = 80.0.361.62
三、漏洞防护
3.1 官方升级
目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护。
Google Chrome浏览器升级步骤：
（1）在Chrome浏览器中，点击右上方的菜单栏图标，选择“帮助”-“关于Google Chrome(G)”；
（2）确认浏览器当前版本，80.0.3987.122以下版本（不含80.0.3987.122）均存在上述漏洞；
（3）在打开“关于Chrome”界面后，将自动进行更新，如果未自动更新或更新失败，请刷新该界面；
（4）如果上述更新方式失败，建议访问Chrome官网下载最新版本并重新安装：https://www.google.cn/intl/zh-CN/chrome。
Microsoft Edge浏览器更新步骤：
用户可通过开启Windows系统的Microsoft Update服务进行自动更新安装相应补丁。
注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。
右键点击Windows徽标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。
如果上述更新方式失败，建议访问Microsoft官网下载最新版本并重新安装：
https://www.microsoft.com/en-us/edge
3.2 临时缓解措施
如果相关用户暂时无法升级，请避免使用Google Chrome与Microsoft Edge浏览网页，建议换用Firefox、IE等其他不受该漏洞影响的浏览器。同时，应避免打开任何可疑、陌生的网站，特别是谨慎点击陌生电子邮件中包含的超链接。
声明
本安全公告仅用来描述可能存在的安全问题，AG公司科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，AG公司科技以及安全公告作者不为此承担任何责任。
AG公司科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经AG公司科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于AG公司科技
北京神州AG公司信息安全科技股份有限公司（简称AG公司科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，AG公司科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州AG公司信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：AG公司科技，股票代码：300369。
