گیت‌هاب اطلاعات فنی مربوط به آسیب‌پذیری‌های شناسایی‌شده توسط یکی از پژوهش‌گران امنیتی خود در مؤلفه‌ی WebAudio کروم را منتشر کرده است. این آسیب‌پذیری‌ها توسط یکی از پژوهش‌گران آزمایشگاه امنیتی گیت‌هاب و در ماه فوریه و مارس به گوگل گزارش شده بود. وی در حین کار روی Semmle، شروع به جستجوی آسیب‌پذیری‌های کروم کرد. همزمان با Semmle، این پژوهش‌گر چند آسیب‌پذیری sandbox escape کروم را شناسایی کرد که گوگل ده‌ها هزار دلار برای آن پاداش داد. جدیدترین حفره‌های امنیتی کشف‌شده توسط این پژوهش‌گر که همگی به‌عنوان مسائل با شدت بالای استفاده پس از آزادسازی توصیف شده‌اند، توسط گوگل در کروم نسخه‌ی ۸۰ وصله شده است. بااین‌حال، این غول فناوری هنوز تصمیم نگرفته است که چه مبلغی برای آن‌ها پرداخت خواهد کرد. این آسیب‌پذیری‌ها با شناسه‌های CVE-2020-6450، CVE-2020-6451، CVE-2020-6427، CVE-2020-6428، CVE-2020-6429 و CVE-2020-6449 شناسایی می‌شوند. همه‌ی آن‌ها مؤلفه‌ی WebAudio کروم را که برای پیاده‌سازی Web Audio API استفاده می‌شود، تحت تأثیر قرار می‌دهند. این API برای کنترل صدا در وب طراحی شده است و به توسعه‌دهندگان اجازه می‌دهد تا منابع صوتی را انتخاب کنند و افکت اضافه کنند و تصویرسازی کنند. گیت‌هاب بیان کرد که اگرچه این آسیب‌پذیری‌ها با شدت بالا طبقه‌بندی شده‌اند، به منظور بهره‌برداری از آن‌ها برای اجرای کد دلخواه در context کروم، باید با یک آسیب‌پذیری sanbox escape دیگر در کروم یا سیستم عامل ترکیب شوند. درصورتی که یک مهاجم چنین آسیب‌پذیری sandbox escape را کشف کند، می‌تواند یک حمله‌ی راه دور زا به‌طور مستقیم از وب راه‌اندازی کند. آزمایشگاه امنیتی گیت‌هاب مشاوره‌های فنی فردی برای هر یک از آسیب‌پذیری‌های کروم منتشر کرده است. مشاوره‌ی مربوط به CVE-2020-6450 بیان می‌کند که این مسأله نتیجه‌ی یک وصله‌ی ناقص برای دو آسیب‌پذیری دیگر است.
گیت‌هاب جزئیات مربوط به ۶ آسیب‌پذیری کروم را منتشر کرد
