CVE-2019-5786
Google Chrome Blink Use-After-Free Vulnerability
Beschreibung
CVE-2019-5786 ist eine Use-after-free-Schwachstelle in der Blink-Rendering-Engine von Google Chrome, die es einem Angreifer ermöglicht, über eine präparierte HTML-Seite potenziell Out-of-bounds-Speicherzugriffe durchzuführen. Diese heapbasierte Use-after-free-Schwachstelle kann zur Ausführung von Remote-Code ausgenutzt werden, wenn ein Benutzer eine bösartige Webseite besucht. CISA hat die aktive Ausnutzung bestätigt und CVE-2019-5786 in den Known Exploited Vulnerabilities Katalog aufgenommen. Mit einem EPSS-Perzentil von 99,5 % gehört sie zu den am häufigsten ausgenutzten Browser-Schwachstellen und stellt eine kritische Bedrohung für Chrome-Benutzer weltweit dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 72.0.3626.121 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Referenzen
- https://chromereleases.googleblog.com/2019/03/stable-channel-update-for-desktop.html(Release Notes, Vendor Advisory)
- https://crbug.com/936448(Exploit, Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-5786(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CWE-416 beschreibt eine Schwachstelle, bei der ein Programm auf Speicher zugreift, nachdem dieser freigegeben wurde, was zu Datenkorruption, Ausführung von beliebigem Code oder Programmabstürzen führen kann. Bei CVE-2019-5786 referenziert die Chrome-Blink-Rendering-Engine weiterhin eine Heap-Speicherallokation nach deren Freigabe, was einem Angreifer ermöglicht, den Inhalt des freigegebenen Speicherbereichs zu kontrollieren und die Programmausführung über eine präparierte HTML-Seite zu kapern.
Weitere Informationen: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2019-5786 ist eine Heap-Use-after-free-Schwachstelle in der Blink-Rendering-Engine von Google Chrome, die es einem Angreifer ermöglicht, Out-of-bounds-Speicherzugriffe und Remote-Code-Ausführung zu erreichen. Der Angriff ist netzwerkbasiert und erfordert lediglich, dass ein Opfer eine präparierte HTML-Seite besucht, was die Schwachstelle über Phishing-E-Mails, bösartige Werbeanzeigen oder kompromittierte Websites massentauglich ausnutzbar macht. Keine Authentifizierung oder besonderen Privilegien sind erforderlich. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes innerhalb des Chrome-Renderer-Prozesses, und in Kombination mit einer Sandbox-Escape-Schwachstelle kann eine vollständige Systemkompromittierung erreicht werden. Das EPSS-Perzentil von 99,5 % platziert diese Schwachstelle unter den am aktivsten ausgenutzten CVEs. Die massive Nutzerbasis von Google Chrome verstärkt die potenzielle Auswirkung über Verbraucher- und Unternehmensumgebungen hinweg.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-5786 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Das EPSS-Perzentil von 99,5 % platziert diese Schwachstelle unter den Top 0,5 % aller bewerteten CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit. Google hat in seinem Advisory eingeräumt, dass ein Exploit für CVE-2019-5786 in freier Wildbahn existierte, was auf Zero-Day-Ausnutzung vor der Patch-Veröffentlichung hinweist. Diese Schwachstelle wurde insbesondere in Kombination mit einem separaten Windows-Kernel-Zero-Day (CVE-2019-0808) in gezielten Angriffen eingesetzt — die Chrome-Schwachstelle ermöglichte initiale Codeausführung im Browser, während der Windows-Kernel-Bug den Sandbox-Escape und die vollständige Systemkompromittierung ermöglichte.
Behebung
- Aktualisieren Sie Google Chrome umgehend auf die neueste Version. CVE-2019-5786 wurde in Chrome 72.0.3626.121 behoben. Chromes automatischer Update-Mechanismus sollte diesen Fix bereits bereitgestellt haben, aber Administratoren sollten die installierte Version auf allen verwalteten Systemen überprüfen.
- Aktivieren Sie Chromes automatische Update-Funktion auf allen Endgeräten. In Unternehmensumgebungen verwenden Sie Chrome-Management-Richtlinien, um die Update-Compliance durchzusetzen.
- Setzen Sie Browser-Isolations- oder Sandboxing-Lösungen ein, die die Auswirkungen von browserbasierten Exploits eindämmen und die Codeausführung daran hindern können, den Browser-Kontext zu verlassen.
- Implementieren Sie Web-Content-Filtering und URL-Reputationsdienste, um den Zugang zu bekannten bösartigen Domains zu blockieren, die Exploit-Kits mit Ziel auf Browser-Schwachstellen hosten.
- Stellen Sie sicher, dass das zugrunde liegende Betriebssystem vollständig gepatcht ist, da CVE-2019-5786 in Kombination mit OS-Level-Schwachstellen wie CVE-2019-0808 unter Windows für eine vollständige Systemkompromittierung eingesetzt wurde.
Technische Details
CVE-2019-5786 ist eine Heap-Use-after-free-Schwachstelle in der FileReader-API-Implementierung innerhalb von Chromes Blink-Rendering-Engine. Der Fehler tritt auf, wenn der zugrunde liegende Speicher eines FileReader-Objekts freigegeben wird, während das Objekt noch eine Referenz darauf hält. Wenn der Angreifer nachfolgende Operationen auf dem Dangling Pointer auslöst, greift das Programm auf den zuvor freigegebenen Heap-Speicher zu, den der Angreifer so manipuliert hat, dass er kontrollierte Daten enthält. Durch sorgfältiges Gestalten des Heap-Layouts kann der Angreifer vom Angreifer kontrollierte Daten in dem freigegebenen Speicherbereich platzieren, um den Kontrollfluss zu kapern und beliebige Codeausführung innerhalb des Chrome-Renderer-Prozesses zu erreichen. Die Schwachstelle wurde in freier Wildbahn in Kombination mit CVE-2019-0808 beobachtet, einer Windows-Win32k-Privilegieneskalations-Schwachstelle, um die Sandbox zu verlassen und SYSTEM-Level-Codeausführung auf dem Host zu erreichen.
Häufig gestellte Fragen
Wird CVE-2019-5786 aktiv ausgenutzt?
Ja, CVE-2019-5786 wurde als Zero-Day-Schwachstelle aktiv ausgenutzt. Google hat die Existenz eines In-the-wild-Exploits bestätigt, und CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,5 % bestätigt, dass sie zu den am häufigsten ausgenutzten Browser-Schwachstellen gehört.
Welche Produkte sind von CVE-2019-5786 betroffen?
CVE-2019-5786 betrifft Google-Chrome-Versionen vor 72.0.3626.121 auf allen Plattformen, auf denen die Blink-Rendering-Engine verwendet wird. Dies umfasst Chrome unter Windows, macOS und Linux. Andere Chromium-basierte Browser können ebenfalls betroffen sein.
Wie behebe ich CVE-2019-5786?
Aktualisieren Sie Google Chrome auf Version 72.0.3626.121 oder höher. Überprüfen Sie, dass Chromes automatische Update-Funktion aktiviert ist und funktioniert. Stellen Sie außerdem sicher, dass das zugrunde liegende Betriebssystem vollständig gepatcht ist.
Wie schwerwiegend ist CVE-2019-5786?
CVE-2019-5786 ist eine kritische Use-after-free-Schwachstelle mit einem EPSS-Perzentil von 99,5 %, was sie zu einer der am häufigsten ausgenutzten Browser-Schwachstellen macht. Sie wurde als Zero-Day in gezielten Angriffen in Kombination mit einer Windows-Kernel-Schwachstelle für vollständige Systemkompromittierung eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.