CVE-2021-21148
Google Chromium V8 Heap Buffer Overflow Vulnerability
Beschreibung
CVE-2021-21148 ist eine Schwachstelle mit hochem Schweregrad, die Google Chromium V8 betrifft. Google Chromium V8 Engine contains a heap buffer overflow vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was eine aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 24.87% (96.1. Perzentil) weist diese Schwachstelle eine sehr hohe Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 88.0.4324.150 | |
| fedoraproject | fedora | 32; 33 |
| debian | debian linux | 10.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162579/Chrome-Array-Transfer-Bypass.html(Third Party Advisory, VDB Entry)
- https://chromereleases.googleblog.com/2021/02/stable-channel-update-for-desktop_4.html(Release Notes)
- https://crbug.com/1170176(Permissions Required)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7ACWYJ74Z3YN2XH4QMUEGNBC3VXX464L/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/AUQSMNV7INLDDSD3RKI5S5EAULX2QC7P/(Release Notes)
- https://security.gentoo.org/glsa/202104-08(Third Party Advisory)
- https://www.debian.org/security/2021/dsa-4858(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21148(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Dies kann durch Buffer Overflows, inkorrekte Array-Indizierung, Zeigerarithmetik-Fehler oder Integer Overflows auftreten, die Größenberechnungen beeinflussen. Out-of-bounds Writes sind extrem gefährlich, da sie angrenzende Daten korrumpieren, Kontrollflussinformationen (Rücksprungadressen, Funktionszeiger) überschreiben, Sicherheitsflags ändern oder Heap-Metadaten korrumpieren können. Diese Schwachstelle rangiert konsistent als eine der gefährlichsten Software-Schwächen aufgrund ihres direkten Pfads zu beliebiger Code-Ausführung.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2021-21148 hat einen CVSS 3.1-Score von 8.8 (HOCH), was eine hohe Bedrohung darstellt. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert keine Authentifizierung, wobei Benutzerinteraktion erforderlich ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit von Daten schwerwiegend gefährden, unbefugte Änderungen an Daten und Systemen ermöglichen und zu vollständigen Dienstunterbrechungen führen. Der Scope bleibt unverändert und begrenzt die Auswirkungen auf die verwundbare Komponente. Organisationen mit betroffenen Systemen sind einem erheblichen Betriebsrisiko ausgesetzt, wenn diese Schwachstelle ungepatcht bleibt.
Exploit-Reifegrad
CVE-2021-21148 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Der EPSS-Score von 24.87% (96.1. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Öffentliche Exploit-Referenzen sind verfügbar, was die Hürde für Angreifer senkt und die Dringlichkeit der Behebung erhöht. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2021-11-17 gemäß der CISA-Richtlinie zu beheben.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA KEV: Apply updates per vendor instructions.
- Überprüfen Sie, dass alle Instanzen betroffener Produkte (google chrome (< 88.0.4324.150), fedoraproject fedora (32; 33), debian debian linux (10.0)) auf gepatchte Versionen aktualisiert wurden.
- Falls ein sofortiges Patching nicht möglich ist, beschränken Sie den Netzwerkzugang zu betroffenen Systemen durch Firewall-Regeln und Netzwerksegmentierung.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Prozessaktivität, unerwarteter Netzwerkverbindungen und unautorisierter Konfigurationsänderungen.
- Überprüfen Sie Sicherheitsprotokolle und führen Sie Threat Hunting durch, um festzustellen, ob die Schwachstelle vor dem Patching ausgenutzt wurde.
Technische Details
CVE-2021-21148 betrifft Google Chromium V8. Heap buffer overflow in V8 in Google Chrome prior to 88.0.4324.150 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein Angreifer diese Schwachstelle aus der Ferne ohne physischen Zugang zum Zielsystem ausnutzen kann. Der CVSS-Score von 8.8 spiegelt die Kombination aus einfacher Ausnutzbarkeit und erheblichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2021-21148 aktiv ausgenutzt?
Ja. CVE-2021-21148 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 24.87% (96.1. Perzentil) weist zusätzlich auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2021-21148 betroffen?
CVE-2021-21148 betrifft Google Chromium V8. Konkret betroffene Produkte umfassen: google chrome (< 88.0.4324.150), fedoraproject fedora (32; 33), debian debian linux (10.0).
Wie behebe ich CVE-2021-21148?
Apply updates per vendor instructions. Stellen Sie sicher, dass alle betroffenen Systeme auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patching nicht möglich ist, implementieren Sie netzwerkbasierte Mitigationsmaßnahmen.
Wie schwerwiegend ist CVE-2021-21148?
CVE-2021-21148 hat einen CVSS 3.1-Score von 8.8 (HOCH). Dies ist eine Schwachstelle mit hochem Schweregrad, die sofortige Aufmerksamkeit und Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.