CVE-2020-16017
Google Chrome Use-After-Free Vulnerability
Beschreibung
CVE-2020-16017 ist eine kritische Use-After-Free-Schwachstelle in der Site-Isolation-Komponente von Google Chrome mit einem CVSS-3.1-Score von 9.6. Ein Use-After-Free im Site-Isolation-Mechanismus von Google Chrome vor Version 86.0.4240.198 ermöglicht es einem Remote-Angreifer, der den Renderer-Prozess kompromittiert hat, potenziell einen Sandbox-Escape über eine speziell gestaltete HTML-Seite durchzuführen. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Mit einem EPSS-Score von 0.21415 (95,622. Perzentile) zeigt diese Schwachstelle sehr hohe reale Ausnutzungsaktivität und wurde als Zero-Day ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 86.0.4240.198 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2020/11/stable-channel-update-for-desktop_11.html(Release Notes, Vendor Advisory)
- https://crbug.com/1146709(Permissions Required, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-16017(US Government Resource)
Schwachstellentyp
CWE-416: Nutzung nach Freigabe (Use After Free)
CVE-2020-16017 wird unter CWE-416 klassifiziert — Nutzung nach Freigabe (Use After Free). Use After Free tritt auf, wenn Software einen Pointer weiterhin verwendet, nachdem der referenzierte Speicher freigegeben wurde. Sobald Speicher freigegeben ist, kann er für andere Zwecke neu zugewiesen werden. Wenn der veraltete Pointer anschließend dereferenziert wird, kann das Programm auf Speicher zugreifen, der nun für andere Datenstrukturen verwendet wird.
Im Kontext von Chromes Site-Isolation-Mechanismus ist die Use-After-Free-Schwachstelle besonders gefährlich, da Site Isolation selbst eine Sicherheitsgrenze darstellt. Wenn diese Komponente einen UAF enthält, können Angreifer, die bereits eine Renderer-Kompromittierung erreicht haben, den freigegebenen Speicher manipulieren, um die Kontrolle über den Site-Isolation-Prozess zu erlangen und effektiv eine der wichtigsten Sicherheitsschichten von Chrome zu umgehen.
Mehr erfahren: CWE-416 — Nutzung nach Freigabe
Auswirkungsanalyse
CVE-2020-16017 hat einen CVSS-3.1-Score von 9.6 (KRITISCH) mit Changed Scope.
Vertraulichkeit (HIGH): Ein erfolgreicher Sandbox-Escape ermöglicht dem Angreifer den Zugriff auf Daten jenseits der Chrome-Renderer-Sandbox, einschließlich anderer Anwendungsdaten, Benutzerdateien und potenziell systembezogener Informationen auf dem betroffenen Gerät.
Integrität (HIGH): Der Angreifer kann Daten außerhalb der Renderer-Sandbox-Grenze modifizieren, potenziell persistente Malware installieren, Systemkonfigurationen ändern oder andere Anwendungen auf dem System kompromittieren.
Verfügbarkeit (HIGH): Eine vollständige Störung des Browsers und potenziell des zugrunde liegenden Betriebssystems ist durch den Sandbox-Escape möglich, was persistente Kompromittierung über die Browsersitzung hinaus ermöglicht.
Scope Changed: Der Changed Scope ist der kritischste Aspekt dieser Schwachstelle. Er zeigt an, dass die Ausnutzung das Ausbrechen aus Chromes Renderer-Sandbox ermöglicht und die breitere Betriebssystemumgebung beeinflusst. Diese Eskalation vom Renderer-Prozess zum Systemzugriff macht die Schwachstelle weitaus gefährlicher als eine reine Renderer-Kompromittierung.
Mit einem EPSS-Score von 0.21415 (95,622. Perzentile) gehört diese Schwachstelle zu den am aktivsten ausgenutzten, bestätigt durch ihre Verwendung als Zero-Day in freier Wildbahn.
Exploit-Reifegrad
Exploit-Status: CVE-2020-16017 hat bestätigte aktive Ausnutzung als Zero-Day-Schwachstelle und ist im CISA KEV-Katalog gelistet. Google bestätigte, dass die Schwachstelle vor Verfügbarkeit eines Patches in freier Wildbahn ausgenutzt wurde. Das Chrome-Release 86.0.4240.198 im November 2020 adressierte diesen Zero-Day zusammen mit CVE-2020-16013 (einem weiteren V8-Zero-Day). Dies war Teil einer Serie von Chrome-Zero-Days Ende 2020.
Ransomware-Bezug: Kein direkter Ransomware-Zusammenhang wurde bestätigt. Die Sandbox-Escape-Natur dieser Schwachstelle deutet auf Verwendung in gezielten, ausgeklügelten Angriffen hin, statt in opportunistischen Ransomware-Kampagnen.
Angriffsfläche: Als Sandbox-Escape-Schwachstelle erfordert CVE-2020-16017, dass der Angreifer bereits den Renderer-Prozess über eine separate Schwachstelle kompromittiert hat. Dies positioniert sie als zweite Stufe in einer Exploit-Kette, aber ihre Präsenz in Chromes Site-Isolation-Komponente bedeutet, dass sie eines der wichtigsten Sicherheitsfeatures des Browsers untergräbt.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen sollten sicherstellen, dass Chrome über Version 86.0.4240.198 aktualisiert ist.
Behebung
- Google Chrome umgehend aktualisieren. Stellen Sie sicher, dass alle Chrome-Installationen auf Version 86.0.4240.198 oder höher aktualisiert sind. Dies gilt für Chrome auf allen Desktop-Plattformen (Windows, macOS, Linux).
- Alle Chromium-basierten Browser aktualisieren. Da die Schwachstelle in Chromiums Site-Isolation-Mechanismus liegt, aktualisieren Sie Microsoft Edge, Opera, Brave und alle anderen Chromium-basierten Browser auf ihre entsprechenden gepatchten Versionen.
- Automatische Browser-Updates organisationsweit aktivieren. Konfigurieren Sie verwaltete Browser-Richtlinien, um automatische Updates durchzusetzen und sicherzustellen, dass keine Geräte auf verwundbaren Versionen verbleiben.
- Auf mehrstufige Angriffsindikatoren überwachen. Da dies ein Sandbox-Escape ist, der eine vorherige Renderer-Kompromittierung erfordert, überwachen Sie auf Anzeichen initialer Ausnutzung (ungewöhnliche Renderer-Abstürze, verdächtige JavaScript-Ausführung) sowie Post-Escape-Aktivität (unerwartete Prozesserstellung, Dateizugriff außerhalb von Browser-Verzeichnissen).
- Defense-in-Depth auf Endpoint-Ebene implementieren. Setzen Sie Endpoint Detection and Response (EDR) Lösungen ein, die Post-Exploitation-Verhalten erkennen können, auch wenn Browser-Sandboxes umgangen werden.
- Site-Isolation-Konfiguration überprüfen. Stellen Sie sicher, dass Site Isolation in allen verwalteten Chrome-Installationen aktiviert und ordnungsgemäß konfiguriert ist.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: CVE-2020-16017 ist eine kritische Use-After-Free-Schwachstelle in der Site-Isolation-Komponente von Google Chrome. Der Use-After-Free tritt in Chromes Site-Isolation-Implementierung auf, die dafür verantwortlich ist, sicherzustellen, dass Seiten von verschiedenen Websites in separaten Prozessen gerendert werden. Ein Speicherverwaltungsfehler in dieser Komponente bewirkt, dass ein Pointer weiterhin auf freigegebenen Speicher verweist.
Schwachstellenmechanismus: Ein Angreifer, der bereits Codeausführung im Renderer-Prozess erreicht hat, kann den Heap manipulieren, um angreiferkontrollierte Daten im freigegebenen Speicherbereich zu platzieren. Wenn der veraltete Pointer anschließend von der Site-Isolation-Komponente dereferenziert wird, erlangt der Angreifer Kontrolle über den Ausführungsfluss im privilegierten Prozess des Browsers und erreicht Sandbox-Escape.
Exploit-Chain-Kontext: Diese Schwachstelle wurde zusammen mit anderen Chrome-Zero-Days im November 2020 entdeckt, einschließlich CVE-2020-16013 (V8 Type Confusion). Die typische Angriffskette beinhaltet einen Renderer-Exploit gefolgt von CVE-2020-16017 für Sandbox-Escape.
Betroffene Versionen: Google Chrome vor Version 86.0.4240.198 auf allen Desktop-Plattformen.
CVSS-3.1-Bewertung: Der Score von 9.6 (KRITISCH) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H reflektiert Changed Scope (Sandbox-Escape) und maximale Auswirkungen auf alle drei Sicherheitsziele.
Häufig gestellte Fragen
Wird CVE-2020-16017 aktiv ausgenutzt?
Ja, CVE-2020-16017 wurde als Zero-Day in freier Wildbahn ausgenutzt, bevor ein Patch verfügbar war. Google bestätigte die aktive Ausnutzung im November 2020 bei der Veröffentlichung von Chrome 86.0.4240.198. Der EPSS-Score von 0.21415 (95,622. Perzentile) bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit, und die Schwachstelle wurde zusammen mit anderen Chrome-Zero-Days in einer Serie ausgeklügelter Angriffe entdeckt.
Welche Produkte sind von CVE-2020-16017 betroffen?
Google Chrome vor Version 86.0.4240.198 auf Desktop-Plattformen ist betroffen. Da die Schwachstelle in der Chromium-Site-Isolation-Komponente existiert, können auch andere Chromium-basierte Browser (Microsoft Edge, Opera, Brave) betroffen sein. Organisationen sollten alle Chromium-basierten Browser aktualisieren.
Wie behebe ich CVE-2020-16017?
Aktualisieren Sie Google Chrome auf allen Desktop-Plattformen auf Version 86.0.4240.198 oder höher. Aktualisieren Sie alle anderen Chromium-basierten Browser auf ihre entsprechenden gepatchten Versionen. Aktivieren Sie automatische Updates und verifizieren Sie die Patch-Bereitstellung über Endpoint-Management-Tools.
Wie schwerwiegend ist CVE-2020-16017?
CVE-2020-16017 ist mit einem CVSS-Score von 9.6 als KRITISCH eingestuft mit Changed Scope, was auf Sandbox-Escape-Fähigkeit hinweist. Der EPSS-Score von 0.21415 (95,622. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Als bestätigter Zero-Day, der Sandbox-Escape aus Chromes Site-Isolation-Mechanismus ermöglicht, stellt diese Schwachstelle einen der gefährlichsten Typen von Browser-Schwachstellen dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.