CVE-2020-16013
Google Chromium V8 Incorrect Implementation Vulnerabililty
Beschreibung
CVE-2020-16013 ist eine schwerwiegende Schwachstelle durch fehlerhafte Implementierung in Googles Chromium V8 JavaScript-Engine mit einem CVSS-3.1-Score von 8.8. Die Schwachstelle ermöglicht es einem entfernten Angreifer, über eine manipulierte HTML-Seite potenziell Heap-Korruption auszunutzen. Dieser Fehler betrifft mehrere Webbrowser, die Chromium nutzen, darunter Google Chrome, Microsoft Edge und Opera. Das primär betroffene Produkt ist Google Chrome (< 86.0.4240.198). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.26139 (96,21. Perzentile) belegt eine signifikante reale Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 86.0.4240.198 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2020/11/stable-channel-update-for-desktop_11.html(Release Notes, Vendor Advisory)
- https://crbug.com/1147206(Permissions Required, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-16013(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-Bounds Write
CVE-2020-16013 wird unter CWE-787 klassifiziert — Out-of-Bounds Write (Schreiben außerhalb der Puffergrenzen). Diese Schwachstelle tritt auf, wenn Software Daten über das Ende oder vor den Anfang des vorgesehenen Puffers hinaus schreibt. Die fehlerhafte Implementierung in V8 führt zu Heap-Korruptions-Szenarien, bei denen die JavaScript-Engine in Speicherbereiche außerhalb der vorgesehenen Grenzen schreibt. Out-of-Bounds-Write-Schwachstellen in Browser-JavaScript-Engines sind besonders kritisch, da sie durch den bloßen Besuch einer bösartigen Website ausgelöst werden können.
Im Kontext von Googles Chromium V8-Engine manifestiert sich diese Schwachstelle durch eine fehlerhafte Implementierung in der Codegenerierungs- oder Interpretationspipeline der Engine. Der Fehler ermöglicht es speziell manipuliertem JavaScript, Speicherschreibvorgänge über allokierte Grenzen hinaus auszulösen, was zu Heap-Korruption führt. Angreifer können diese Korruption ausnutzen, um die Kontrolle über den Programmausführungsfluss zu erlangen.
Mehr erfahren: CWE-787 — Out-of-Bounds Write
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten innerhalb des Chromium-Renderer-Prozesses, einschließlich Seiteninhalt, Cookies, Sitzungstoken und Formulardaten.
Integrität (HIGH): Angreifer können Speicher innerhalb des Browserprozesses modifizieren, um schädlichen Code einzuschleusen, Webseiteninhalte zu ändern oder das Browser-Verhalten zu manipulieren.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des Browserprozesses ist durch Heap-Korruption möglich, was zu Abstürzen, Datenverlust oder dauerhafter Browser-Instabilität führt.
Scope: Der Scope ist Unchanged (U), was bedeutet, dass die Auswirkungen auf den V8-Renderer-Prozess beschränkt sind. Für eine vollständige Systemkompromittierung müsste diese Schwachstelle mit einem Sandbox-Escape verkettet werden.
Mit einem EPSS-Score von 0.26139 (96,21. Perzentile) besteht eine hohe Wahrscheinlichkeit der Ausnutzung in realen Angriffen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-16013 wurde als Zero-Day-Schwachstelle in freier Wildbahn ausgenutzt. Google bestätigte die aktive Ausnutzung im November-2020-Sicherheitshinweis, wo sie zusammen mit CVE-2020-16017 (Use-After-Free in Site Isolation) gepatcht wurde. Der EPSS-Score von 0.26139 (96,21. Perzentile) bestätigt eine hohe reale Ausnutzungswahrscheinlichkeit.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang für CVE-2020-16013 bestätigt. Die bestätigte Zero-Day-Ausnutzung deutet jedoch darauf hin, dass fortgeschrittene Bedrohungsakteure diese Schwachstelle gezielt angegriffen haben.
Angriffsfläche: Diese Schwachstelle wurde zusammen mit CVE-2020-16017 als Teil einer Exploit-Kette ausgenutzt, wobei V8-Heap-Korruption (diese CVE) die initiale Codeausführung ermöglichte und die Site-Isolation-Use-After-Free den Sandbox-Escape. Organisationen sollten davon ausgehen, dass vollständige Exploit-Ketten existieren.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen sollten diese Frist als dringende Empfehlung betrachten.
Behebung
- Hersteller-Patches umgehend anwenden. Aktualisieren Sie Google Chrome auf Version 86.0.4240.198 oder höher. Konsultieren Sie den Herstellerhinweis unter chromereleases.googleblog.com für spezifische Patch-Informationen.
- Betroffene Produktversionen identifizieren. Erfassen Sie alle Instanzen von Chromium-basierten Browsern in Ihrer Infrastruktur, die Versionen vor Google Chrome 86.0.4240.198 ausführen.
- Alle Chromium-basierten Browser aktualisieren. Da die Schwachstelle die V8-Engine betrifft, stellen Sie sicher, dass alle Browser und Anwendungen, die Chromium einbetten, aktualisiert werden.
- Interim-Maßnahmen bei verzögertem Patching umsetzen. Falls sofortiges Patching nicht möglich ist, erwägen Sie die Einschränkung der JavaScript-Ausführung für nicht vertrauenswürdige Inhalte und implementieren Sie Browser-Isolation.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Angesichts der bestätigten Zero-Day-Ausnutzung und Verwendung in Exploit-Ketten führen Sie eine gründliche Untersuchung auf Kompromittierungsindikatoren durch.
- Erkennungssignaturen aktualisieren. Stellen Sie sicher, dass Endpoint-Detection-Tools, Browser-Sicherheitskontrollen und SIEM-Regeln aktualisiert sind.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Schwachstelle in Googles Chromium V8 JavaScript-Engine kann über das Netzwerk ohne physischen Zugang ausgenutzt werden. Die Angriffskomplexität ist niedrig. Es sind keine vorherigen Authentifizierungen oder Berechtigungen erforderlich. Eine Benutzerinteraktion ist erforderlich — das Opfer muss eine manipulierte Webseite besuchen.
Schwachstellenmechanismus: Die Schwachstelle resultiert aus einer fehlerhaften Implementierung in V8. Der Fehler liegt in der Art, wie V8 bestimmte JavaScript-Operationen verarbeitet, was zu inkorrekter Speicherbehandlung und resultierender Heap-Korruption führt. Wenn ein Angreifer JavaScript erstellt, das diese fehlerhafte Implementierung auslöst, führt V8 Speicheroperationen mit falschen Parametern durch und schreibt Daten über die vorgesehenen Puffergrenzen hinaus.
Exploit-Ketten-Kontext: Diese Schwachstelle wurde zusammen mit CVE-2020-16017 ausgenutzt und bildet eine zweistufige Exploit-Kette: CVE-2020-16013 ermöglicht initiale Codeausführung durch V8-Heap-Korruption, CVE-2020-16017 den Sandbox-Escape.
Betroffene Produkte: Google Chrome (< 86.0.4240.198)
CVSS-3.1-Bewertung: Der Score von 8.8 (HOCH) reflektiert die Kombination aus netzwerkbasiertem Angriffsvektor, niedriger Komplexität, erforderlicher Benutzerinteraktion und maximaler Auswirkung über alle drei CIA-Dimensionen.
Häufig gestellte Fragen
Wird CVE-2020-16013 aktiv ausgenutzt?
Ja, CVE-2020-16013 wurde als Zero-Day-Schwachstelle in freier Wildbahn ausgenutzt. Google bestätigte die aktive Ausnutzung im November-2020-Sicherheitshinweis. Diese Schwachstelle wurde zusammen mit CVE-2020-16017 als Teil einer Exploit-Kette verwendet. Der EPSS-Score von 0.26139 (96,21. Perzentile) bestätigt eine hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2020-16013 betroffen?
Das primär betroffene Produkt ist Google Chrome vor Version 86.0.4240.198. Da die Schwachstelle in der V8 JavaScript-Engine liegt, können auch andere Chromium-basierte Browser wie Microsoft Edge und Opera betroffen sein, wenn sie verwundbare Chromium-Versionen verwenden.
Wie behebe ich CVE-2020-16013?
Aktualisieren Sie Google Chrome auf Version 86.0.4240.198 oder höher. Dieses Update behebt auch CVE-2020-16017, die zusammen mit dieser Schwachstelle ausgenutzt wurde. Für andere Chromium-basierte Browser wenden Sie die entsprechenden Hersteller-Updates an.
Wie schwerwiegend ist CVE-2020-16013?
CVE-2020-16013 ist mit einem CVSS-Score von 8.8 als HOCH eingestuft. Der EPSS-Score von 0.26139 (96,21. Perzentile) belegt eine hohe reale Ausnutzungswahrscheinlichkeit. Die Schwachstelle wurde als Zero-Day als Teil einer Exploit-Kette mit CVE-2020-16017 ausgenutzt. Die CISA-Behebungsfrist war der 2022-05-03.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.