CVE-2020-16010
Google Chrome for Android UI Heap Buffer Overflow Vulnerability
Beschreibung
CVE-2020-16010 ist eine kritische Heap-Buffer-Overflow-Schwachstelle in der UI-Komponente von Google Chrome für Android mit einem CVSS-3.1-Score von 9.6. Ein Heap-Buffer-Overflow in der UI-Komponente von Google Chrome auf Android vor Version 86.0.4240.185 ermöglicht es einem Remote-Angreifer, der bereits den Renderer-Prozess kompromittiert hat, potenziell einen Sandbox-Escape über eine speziell gestaltete HTML-Seite durchzuführen. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Mit einem EPSS-Score von 0.24113 (95,981. Perzentile) zeigt diese Schwachstelle sehr hohe reale Ausnutzungsaktivität und wurde als Zero-Day in freier Wildbahn ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 86.0.4240.185 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2020/11/chrome-for-android-update.html(Vendor Advisory)
- https://crbug.com/1144368(Issue Tracking, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-16010(US Government Resource)
Schwachstellentyp
CWE-787: Schreiben außerhalb der Puffergrenzen (Out-of-bounds Write)
CVE-2020-16010 wird unter CWE-787 klassifiziert — Schreiben außerhalb der Puffergrenzen. Out-of-bounds Write tritt auf, wenn Software Daten an eine Speicherstelle außerhalb der vorgesehenen Puffergrenzen schreibt. Dies kann durch Buffer Overflows, fehlerhafte Array-Indizierung, Pointer-Arithmetik-Fehler oder Integer Overflows bei Größenberechnungen geschehen.
Im Kontext der Android-UI-Komponente von Chrome ermöglicht dieser Heap-Buffer-Overflow einem Angreifer, der bereits die Renderer-Sandbox kompromittiert hat, vollständig aus der Sandbox auszubrechen. Dies macht sie zu einer kritischen zweiten Stufe in einer Exploit-Kette, bei der die Renderer-Kompromittierung den initialen Zugang bietet und diese Schwachstelle den für eine vollständige Gerätekompromittierung nötigen Sandbox-Escape liefert.
Mehr erfahren: CWE-787 — Schreiben außerhalb der Puffergrenzen
Auswirkungsanalyse
CVE-2020-16010 hat einen CVSS-3.1-Score von 9.6 (KRITISCH) mit Changed Scope.
Vertraulichkeit (HIGH): Ein erfolgreicher Sandbox-Escape gewährt dem Angreifer Zugriff auf Daten außerhalb der Chrome-Renderer-Sandbox, einschließlich anderer Anwendungsdaten, Benutzerdateien und potenziell systembezogener Informationen auf dem Android-Gerät.
Integrität (HIGH): Der Angreifer kann Daten jenseits der Chrome-Sandbox-Grenze modifizieren, potenziell Malware installieren, Anwendungsdaten ändern oder Systemkonfigurationen auf dem kompromittierten Android-Gerät manipulieren.
Verfügbarkeit (HIGH): Eine vollständige Störung des Browsers und potenziell des zugrunde liegenden Android-Systems ist durch den Sandbox-Escape möglich, einschließlich persistentem Denial-of-Service oder Geräteinstabilität.
Scope Changed: Der Changed Scope ist entscheidend — er zeigt an, dass die Schwachstelle dem Angreifer ermöglicht, aus der Chrome-Renderer-Sandbox auszubrechen und Ressourcen jenseits der ursprünglich verwundbaren Komponente zu beeinflussen.
Mit einem EPSS-Score von 0.24113 (95,981. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten, bestätigt durch ihre Verwendung als Zero-Day in gezielten Angriffen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-16010 hat bestätigte aktive Ausnutzung als Zero-Day-Schwachstelle und ist im CISA KEV-Katalog gelistet. Die Schwachstelle wurde entdeckt, als sie bereits in freier Wildbahn ausgenutzt wurde, bevor ein Patch verfügbar war. Googles Threat Analysis Group (TAG) berichtete über die Ausnutzung. Die Schwachstelle war Teil einer Exploit-Kette, die Chrome auf Android-Geräten zielte.
Ransomware-Bezug: Kein direkter Ransomware-Zusammenhang wurde bestätigt. Die mobile Ausrichtung dieses Exploits deutet auf Verwendung in gezielten Überwachungs- oder Spionageoperationen hin, statt in traditionellen Ransomware-Kampagnen.
Angriffsfläche: Die Schwachstelle zielt auf Chrome unter Android, das eine massive globale Nutzerbasis hat. Die Ausnutzung erfordert, dass der Angreifer zunächst den Renderer-Prozess kompromittiert, was bedeutet, dass dies typischerweise als Teil einer mehrstufigen Exploit-Kette eingesetzt wird.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen sollten sicherstellen, dass Chrome auf Android-Geräten auf Version 86.0.4240.185 oder höher aktualisiert ist.
Behebung
- Google Chrome auf Android umgehend aktualisieren. Stellen Sie sicher, dass alle Android-Geräte Chrome Version 86.0.4240.185 oder höher ausführen. Aktivieren Sie automatische Updates im Google Play Store.
- Mobile Device Management (MDM) Richtlinien implementieren. Verwenden Sie MDM-Lösungen, um Chrome-Versionsanforderungen auf verwalteten Android-Geräten durchzusetzen. Konfigurieren Sie Richtlinien, die das Deaktivieren automatischer Updates verhindern.
- Auf Exploit-Chain-Indikatoren überwachen. Da diese Schwachstelle eine vorherige Renderer-Kompromittierung erfordert, überwachen Sie auf Anzeichen initialer Ausnutzung, einschließlich verdächtiger Webseitenladungen, ungewöhnlicher Chrome-Abstürze oder unerwarteter Netzwerkverbindungen von Chrome-Prozessen.
- Zugriff auf nicht vertrauenswürdige Websites einschränken. Implementieren Sie Webfilterung, um die Exposition gegenüber potenziell bösartigen Seiten zu reduzieren, die die Exploit-Kette initiieren könnten.
- Android-Gerätesicherheit überprüfen. Stellen Sie sicher, dass Android-Geräte aktuelle Sicherheitspatches sowohl auf OS- als auch auf Anwendungsebene haben. Aktivieren Sie Google Play Protect für zusätzliches Malware-Scanning.
- Benutzer über mobile Sicherheit schulen. Schulen Sie Benutzer, verdächtige Links zu vermeiden und ihre Browser aktuell zu halten, insbesondere auf mobilen Geräten.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: CVE-2020-16010 ist eine kritische Heap-Buffer-Overflow-Schwachstelle in der UI-Komponente von Google Chrome auf Android. Der Heap-Buffer-Overflow tritt in Chromes Android-UI-Schicht auf. Bei der Verarbeitung bestimmter UI-bezogener Operationen, die durch gestalteten HTML-Inhalt ausgelöst werden, validiert Chrome die Puffergrenzen nicht ordnungsgemäß und schreibt Daten über den zugewiesenen Heap-Puffer hinaus.
Exploit-Chain-Kontext: Diese Schwachstelle wurde als Teil einer mehrstufigen Exploit-Kette eingesetzt. Die erste Stufe kompromittiert den Chrome-Renderer-Prozess (typischerweise über eine separate Schwachstelle), und CVE-2020-16010 liefert dann den Sandbox-Escape. Der Changed Scope im CVSS-Vektor reflektiert diese Sandbox-Escape-Fähigkeit.
Betroffene Versionen: Google Chrome für Android vor Version 86.0.4240.185.
CVSS-3.1-Bewertung: Der Score von 9.6 (KRITISCH) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H reflektiert den netzwerkbasierten Angriffsvektor mit Benutzerinteraktion, Changed Scope und maximalen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2020-16010 aktiv ausgenutzt?
Ja, CVE-2020-16010 wurde als Zero-Day in freier Wildbahn ausgenutzt, bevor ein Patch verfügbar war. Googles Threat Analysis Group bestätigte die Ausnutzung. Die Schwachstelle wurde als Teil einer mehrstufigen Exploit-Kette eingesetzt, die Chrome auf Android-Geräten zielte, typischerweise für gezielte Überwachungsoperationen.
Welche Produkte sind von CVE-2020-16010 betroffen?
Google Chrome für Android vor Version 86.0.4240.185 ist betroffen. Dies betrifft spezifisch die Android-Version von Chrome und ihre UI-Komponente. Desktop-Versionen von Chrome sind von dieser spezifischen Schwachstelle nicht betroffen. Organisationen sollten sicherstellen, dass alle verwalteten Android-Geräte die gepatchte Version ausführen.
Wie behebe ich CVE-2020-16010?
Aktualisieren Sie Google Chrome auf allen Android-Geräten auf Version 86.0.4240.185 oder höher. Aktivieren Sie automatische Updates über den Google Play Store. Für verwaltete Geräteumgebungen verwenden Sie MDM-Lösungen, um Chrome-Versionsanforderungen durchzusetzen.
Wie schwerwiegend ist CVE-2020-16010?
CVE-2020-16010 ist mit einem CVSS-Score von 9.6 als KRITISCH eingestuft mit Changed Scope, was auf Sandbox-Escape-Fähigkeit hinweist. Der EPSS-Score von 0.24113 (95,981. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Als bestätigter Zero-Day in gezielten Angriffen erfordert diese Schwachstelle sofortige Aufmerksamkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.