CVE-2020-16009
Google Chromium V8 Type Confusion Vulnerability
Beschreibung
CVE-2020-16009 ist eine schwerwiegende Type-Confusion-Schwachstelle in Googles Chromium V8 JavaScript-Engine mit einem CVSS-3.1-Score von 8.8. Die Schwachstelle ermöglicht es einem entfernten Angreifer, über eine manipulierte HTML-Seite potenziell Heap-Korruption auszunutzen. Dieser Fehler betrifft mehrere Webbrowser, die Chromium nutzen, darunter Google Chrome, Microsoft Edge und Opera. Betroffene Produkte umfassen Google Chrome (< 86.0.4240.183), Microsoft Edge (< 86.0.622.63), CefSharp (< 86.0.241) und mehrere Linux-Distributionen. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.84383 (99,31. Perzentile) belegt eine extrem hohe reale Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cefsharp | cefsharp | < 86.0.241 |
| chrome | < 86.0.4240.183 | |
| microsoft | edge | < 86.0.622.63 |
| microsoft | edge chromium | < 86.0.4240.183 |
| opensuse | backports sle | 15.0 |
| opensuse | leap | 15.1; 15.2 |
| fedoraproject | fedora | 32; 33 |
| debian | debian linux | 10.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2020-11/msg00016.html(Broken Link, Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2020-11/msg00017.html(Broken Link, Mailing List, Third Party Advisory)
- http://packetstormsecurity.com/files/159974/Chrome-V8-Turbofan-Type-Confusion.html(Exploit, Third Party Advisory, VDB Entry)
- https://chromereleases.googleblog.com/2020/11/stable-channel-update-for-desktop.html(Release Notes, Vendor Advisory)
- https://crbug.com/1143772(Exploit, Issue Tracking)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/S4XYJ7B6OXHZNYSA5J3DBUOFEC6WCAGW/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SC3U3H6AISVZB5PLZLLNF4HMQ4UFFL7M/(Release Notes)
- https://security.gentoo.org/glsa/202011-12(Third Party Advisory)
- https://www.debian.org/security/2021/dsa-4824(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-16009(US Government Resource)
Schwachstellentyp
CWE-843: Zugriff auf Ressource mit inkompatiblem Typ (Type Confusion)
CVE-2020-16009 wird unter CWE-843 — Zugriff auf Ressource mit inkompatiblem Typ (Type Confusion) und CWE-787 — Out-of-Bounds Write klassifiziert. Type Confusion tritt auf, wenn ein Programm auf eine Ressource mit einem inkompatiblen Typ zugreift, was zu undefiniertem Verhalten führt. In JavaScript-Engines wie V8 entstehen Type-Confusion-Schwachstellen, wenn der JIT-Compiler (Just-In-Time) falsche Annahmen über Objekttypen während der Optimierung trifft.
Im Kontext von Googles Chromium V8-Engine ist diese Schwachstelle besonders gefährlich, da V8s Turbofan-JIT-Compiler aggressive spekulative Optimierungen durchführt. Wenn Typannahmen verletzt werden, kann der generierte Maschinencode Speicher mit falschen Typinformationen bearbeiten, was zu Heap-Korruption führt. Angreifer können JavaScript-Code erstellen, der Type Confusion in Turbofan auslöst und es ermöglicht, beliebige Lese-/Schreibprimitive zu konstruieren.
Mehr erfahren: CWE-843 — Zugriff auf Ressource mit inkompatiblem Typ
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten, die vom Chromium-Browser verarbeitet werden, einschließlich Seiteninhalt, Cookies, Sitzungstoken und potenziell gespeicherter Passwörter.
Integrität (HIGH): Angreifer können Speicher innerhalb des Browserprozesses modifizieren, schädlichen Code einschleusen, Seiteninhalte ändern oder den Browser-Zustand manipulieren, um Aktionen im Namen des Benutzers auszuführen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des Browserprozesses ist möglich, einschließlich Abstürze, beliebiger Prozessbeendigung oder dauerhafter Denial-of-Service.
Scope: Der Scope ist Unchanged (U), was bedeutet, dass die Auswirkungen auf den Chromium-Renderer-Prozess beschränkt sind. In Kombination mit Sandbox-Escape-Schwachstellen können die Auswirkungen jedoch auf das gesamte System ausgedehnt werden.
Mit einem EPSS-Score von 0.84383 (99,31. Perzentile) gehört diese Schwachstelle zu den am aktivsten ausgenutzten und erfordert sofortige Behebung.
Exploit-Reifegrad
Exploit-Status: CVE-2020-16009 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Googles Threat Analysis Group hat die Ausnutzung in freier Wildbahn bestätigt. Öffentlicher Exploit-Code ist auf Packet Storm Security verfügbar. Der EPSS-Score von 0.84383 (99,31. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang für CVE-2020-16009 bestätigt. Die Verfügbarkeit von öffentlichem Exploit-Code und der hohe EPSS-Score deuten jedoch auf weitreichendes Interesse von Bedrohungsakteuren hin.
Angriffsfläche: Öffentlicher Exploit-Code demonstriert V8-Turbofan-Type-Confusion-Ausnutzung. Die Schwachstelle wurde als Zero-Day ausgenutzt, bevor Patches verfügbar waren. Organisationen sollten davon ausgehen, dass ausgefeilte Exploit-Tools existieren.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen sollten diese Frist als dringende Empfehlung betrachten.
Behebung
- Hersteller-Patches umgehend anwenden. Aktualisieren Sie Google Chrome auf Version 86.0.4240.183 oder höher. Konsultieren Sie den Herstellerhinweis unter chromereleases.googleblog.com für spezifische Patch-Informationen.
- Betroffene Produktversionen identifizieren. Erfassen Sie alle Instanzen von Chromium-basierten Browsern und eingebetteten Frameworks: Google Chrome (< 86.0.4240.183), Microsoft Edge (< 86.0.622.63), CefSharp (< 86.0.241) und weitere Chromium-basierte Anwendungen.
- Alle Chromium-basierten Browser und Frameworks aktualisieren. Da die Schwachstelle die V8-Engine betrifft, stellen Sie sicher, dass alle Anwendungen, die Chromium oder V8 einbetten, aktualisiert werden.
- Interim-Maßnahmen bei verzögertem Patching umsetzen. Falls sofortiges Patching nicht möglich ist, erwägen Sie die Deaktivierung der JavaScript-Ausführung für nicht vertrauenswürdige Inhalte und die Einschränkung des Zugriffs auf risikoreiche Websites.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Angesichts der Verfügbarkeit von öffentlichem Exploit-Code überprüfen Sie Sicherheitsprotokolle auf Hinweise browserbasierter Angriffe.
- Erkennungssignaturen aktualisieren. Stellen Sie sicher, dass Endpoint-Detection-Tools, Web-Proxies und SIEM-Regeln aktualisiert sind.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Schwachstelle in Googles Chromium V8 JavaScript-Engine kann über das Netzwerk ohne physischen Zugang ausgenutzt werden. Die Angriffskomplexität ist niedrig. Es sind keine vorherigen Authentifizierungen oder Berechtigungen erforderlich. Eine Benutzerinteraktion ist erforderlich — das Opfer muss eine manipulierte Webseite besuchen.
Schwachstellenmechanismus: Die Schwachstelle existiert in V8s Turbofan-JIT-Compiler, der spekulative Typoptimierungen an JavaScript-Code durchführt. Ein Angreifer kann JavaScript erstellen, das Turbofan dazu bringt, falsche Typannahmen während der Kompilierung zu treffen. Wenn der optimierte Maschinencode mit Objekten unerwarteter Typen ausgeführt wird, führt er Speicheroperationen mit falschen Offsets und Größen durch, was zu Heap-Korruption führt.
Betroffene Produkte: Google Chrome (< 86.0.4240.183), Microsoft Edge (< 86.0.622.63), CefSharp (< 86.0.241), Opensuse Backports Sle (15.0), Opensuse Leap (15.1; 15.2), Fedora (32; 33), Debian Linux (10.0)
CVSS-3.1-Bewertung: Der Score von 8.8 (HOCH) reflektiert die Kombination aus netzwerkbasiertem Angriffsvektor, niedriger Komplexität, erforderlicher Benutzerinteraktion und maximaler Auswirkung über alle drei CIA-Dimensionen.
Häufig gestellte Fragen
Wird CVE-2020-16009 aktiv ausgenutzt?
Ja, CVE-2020-16009 wurde als Zero-Day-Schwachstelle in freier Wildbahn aktiv ausgenutzt. Googles Threat Analysis Group meldete die Ausnutzung vor Verfügbarkeit des Patches. Öffentlicher Exploit-Code ist verfügbar. Der EPSS-Score von 0.84383 (99,31. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2020-16009 betroffen?
Die primär betroffenen Produkte sind Google Chrome (< 86.0.4240.183), Microsoft Edge (< 86.0.622.63), CefSharp (< 86.0.241) sowie jeder Chromium-basierte Browser oder Anwendung, die V8-Versionen vor dem Fix verwendet. Linux-Distributionen einschließlich Fedora, Debian und openSUSE sind ebenfalls betroffen.
Wie behebe ich CVE-2020-16009?
Aktualisieren Sie Google Chrome auf Version 86.0.4240.183 oder höher. Für Microsoft Edge aktualisieren Sie auf Version 86.0.622.63 oder höher. Für CefSharp aktualisieren Sie auf Version 86.0.241 oder höher. Stellen Sie sicher, dass alle Chromium-basierten Anwendungen aktualisiert werden.
Wie schwerwiegend ist CVE-2020-16009?
CVE-2020-16009 ist mit einem CVSS-Score von 8.8 als HOCH eingestuft. Der EPSS-Score von 0.84383 (99,31. Perzentile) belegt eine der höchsten realen Ausnutzungswahrscheinlichkeiten. Öffentlicher Exploit-Code existiert und die Schwachstelle wurde als Zero-Day ausgenutzt. Die CISA-Behebungsfrist war der 2022-05-03.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.