谷歌Chrome修復昆侖實驗室發現漏洞，再成最早響應天府杯廠商

谷歌Chrome瀏覽器于10月28日推送了95.0.4638.69版緊急更新，目前，這一更新已經向 Windows、Mac、Linux版Chrome瀏覽器推送。

在新的版本里，Chrome修復了在前不久結束的“天府杯”國際網絡安全大賽上發現的兩套Chrome full chain漏洞，谷歌Chrome也再次成為對“天府杯”最早響應的廠商。

在10月16日第四屆“天府杯”國際網絡安全大賽產品破解賽的現場，來自“昆侖實驗室”（Kunlun Lab）的安全研究員，在比賽中利用發現的Chrome V8 JavaScript 引擎中存在的type confusion(類型混淆)漏洞，成功攻破Chrome瀏覽器——這也打破了Chrome瀏覽器連續七年來在全球各類挑戰賽中從未被攻破的“不敗金身”。

在Chrome瀏覽器最新的95.0.4638.69版本更新說明中，這一漏洞CVE編號為CVE-2021-38001。同時，另一編號為CVE-2021-38002的UAF漏洞也在公示的漏洞名單中，同樣是在此次“天府杯”比賽中被發現。

值得一提的是，攻破Chrome瀏覽器的昆侖實驗室，最終也以斬獲65.45萬美元獎金的好成績，贏得了本屆“天府杯”比賽的全球總冠軍。在比賽中，除Chrome瀏覽器外，昆侖實驗室還相繼攻破了Adobe PDF Reader、Windows 10、iPhone 13 Pro、VMware ESXi、Safari、VMware workstaion，成為本次“天府杯”的最大贏家。

昆侖實驗室是北京賽博昆侖科技有限公司旗下的安全團隊。今年以來，昆侖實驗室已陸續幫助微軟、谷歌等公司修復了包括操作系統內核、系統下一代視頻編碼器、Edge瀏覽器等在內的安全漏洞，并多次獲得微軟、谷歌的官方致謝。其中在前不久微軟公布的MSRC 2021 Q3榜單中，昆侖實驗室拿下第一、第19名兩席。僅在10月，昆侖實驗室就協助微軟修復了包括Windows內核、微軟媒體播放組件、微軟Hyper-V虛擬化系統、微軟多個文件系統的一共七個漏洞，數量之多排在全球首位。

目前，昆侖實驗室已經協助谷歌Chrome瀏覽器修復了天府杯比賽上發現的RCE漏洞。同時，此次谷歌Chrome發布的補丁中，還公布了剛剛修復的兩個已被在野利用的0day漏洞，建議用戶盡快升級。