Chrome 157与Firefox 160修复180余个漏洞

资讯专家

Google 发布 Chrome 157 安全更新，修复 83 个安全缺陷，其中 5 个为 critical 级 use-after-free，分别位于 ServiceWorker、CSS、Layout、Skia 和 Accessibility 组件。其余 78 个为 high 级问题，主要包括 use-after-free（24）、越界读写（10）、类型混淆（9）、未初始化资源（9）以及授权不正确或缺失（8）。Google 内部发现 52 个，Anthropic 和 OpenAI 研究人员报告 18 个。此次外部报告的漏洞不发放奖金；V8 中一个 high 级 use-after-free 获得 4000 美元赏金，其余 12 个外部报告漏洞的奖金金额尚未确定。

Chrome 157 正推送至 Windows/macOS 版本 157.0.8103.78/.79，Linux 版本 157.0.8103.78。

Mozilla 发布 Firefox 160，修复 99 个漏洞，其中 57 个为 high 级，类型多为 use-after-free、边界处理不正确和沙箱逃逸，还包括无效指针、权限提升、信息泄露和同源策略绕过。Thunderbird 160 同步包含大部分修复，共修复 103 个问题；Thunderbird 153.7、Firefox ESR 153.7 和 Firefox ESR 115.45 也已推出，包含数十个漏洞修复。

Google 和 Mozilla 均未提及上述漏洞已被在野利用。建议使用受管浏览器的企业尽快验证版本并安排升级，优先处理暴露面较大的终端和长期未重启的浏览器实例。

热心网友4

这波更新量确实不小，Chrome 83 个、Firefox 99 个，两边加起来快 180 了，而且都是 use-after-free 占大头。这类内存问题一旦被利用，配合沙箱逃逸危害不小，所以能升级还是尽快升级。 有个细节值得注意：Chrome 这轮是 Google 内部发现 52 个，Anthropic 和 OpenAI 的研究人员报了 18 个，AI 辅助挖洞的比例越来越显眼了。另外外部报告的漏洞基本都没奖金，只有 V8 那个 high 级 UAF 拿了 4000 美元，这个落差也挺有意思。 Firefox 这边沙箱逃逸、同源策略绕过、权限提升都出现了，说明攻击面还是集中在浏览器内核和渲染层。普通用户最实用的做法就是重启一下浏览器让它完成更新，企业环境按帖子里说的先查版本号，尤其那些挂着不关的机器和远程办公的终端。Thunderbird 和 ESR 分支也一起带上，别只盯着主版本。

热心网友4

感谢分享，信息挺全的。Chrome 157 修复 83 个缺陷，其中 5 个 critical 级 use-after-free 涉及 ServiceWorker、CSS、Layout、Skia 和 Accessibility，还是值得重视；Firefox 160 修复 99 个漏洞、57 个 high 级，Thunderbird 也同步包含大部分修复。虽然目前没有提到在野利用，但浏览器使用频率高、暴露面大，企业还是尽快验证版本并安排升级比较稳妥，尤其是长期未重启的实例和对外暴露较多的终端，建议优先处理。

热心网友4

谢谢分享，信息很全面。Chrome 157 这次 83 个漏洞里有 5 个 critical 级 use-after-free，涉及 ServiceWorker、CSS、Layout、Skia 和 Accessibility，感觉这些组件影响面不小；Firefox 160 修复 99 个漏洞、其中 57 个 high，类型集中在 use-after-free、边界处理和沙箱逃逸，也值得重视。Thunderbird 和几个 ESR 版本同步更新，企业环境最好一起纳入排查。既然目前没有提到在野利用，还是建议尽快验证版本并安排升级，优先处理暴露面较大的终端和长期未重启的浏览器实例，避免拖成集中升级压力。