CVE-2021-21220
Google Chromium V8 Improper Input Validation Vulnerability
Beschreibung
CVE-2021-21220 ist eine hochgradige Schwachstelle in Google Chromium V8. Google Chromium V8 Engine contains an improper input validation vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 92,96 % (99,8. Perzentile) besteht eine sehr hohe Wahrscheinlichkeit der Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 89.0.4389.128 | |
| fedoraproject | fedora | 32; 33; 34 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162437/Google-Chrome-XOR-Typer-Out-Of-Bounds-Access-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/176210/Chrome-V8-JIT-XOR-Arbitrary-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop.html(Release Notes)
- https://crbug.com/1196683(Exploit, Issue Tracking)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EAJ42L4JFPBJATCZ7MOZQTUDGV4OEHHG/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U3GZ42MYPGD35V652ZPVPYYS7A7LVXVY/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VUZBGKGVZADNA3I24NVG7HAYYUTOSN5A/(Release Notes)
- https://security.gentoo.org/glsa/202104-08(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21220(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Dies kann durch Buffer Overflows, inkorrekte Array-Indizierung, Zeigerarithmetik-Fehler oder Integer Overflows auftreten, die Größenberechnungen beeinflussen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2021-21220 hat einen CVSS 3.1-Score von 8.8 (HIGH) und stellt eine hochgradige Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar bei geringer Angriffskomplexität und ohne Authentifizierung, wobei eine Benutzerinteraktion erforderlich ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit von Daten schwerwiegend gefährden und unbefugte Datenänderungen ermöglichen und vollständige Dienstausfälle verursachen. Organisationen mit betroffenen Google Chromium V8-Installationen tragen ein erhebliches operatives Risiko, solange diese Schwachstelle nicht behoben ist.
Exploit-Reifegrad
CVE-2021-21220 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Der EPSS-Score von 92,96 % (99,8. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2021-11-17 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Überprüfen Sie, dass alle Instanzen von Google Chromium V8 auf die neuesten gepatchten Versionen aktualisiert wurden.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf betroffene Systeme mittels Firewall-Regeln und Netzwerksegmentierung.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Prozessaktivität, unerwarteter Netzwerkverbindungen und unautorisierter Konfigurationsänderungen.
- Überprüfen Sie Sicherheitsprotokolle und führen Sie Threat Hunting durch, um festzustellen, ob die Schwachstelle vor dem Patchen ausgenutzt wurde.
Technische Details
CVE-2021-21220 betrifft Google Chromium V8. Insufficient validation of untrusted input in V8 in Google Chrome prior to 89.0.4389.128 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein Angreifer diese Schwachstelle aus der Ferne ohne physischen Zugriff auf das Zielsystem ausnutzen kann. Der CVSS-Score von 8.8 spiegelt die Kombination aus einfacher Ausnutzbarkeit und schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2021-21220 aktiv ausgenutzt?
Ja. CVE-2021-21220 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 92,96 % (99,8. Perzentile) zeigt eine erhebliche Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-21220 betroffen?
CVE-2021-21220 betrifft Google Chromium V8. Organisationen, die dieses Produkt einsetzen, sollten ihre Installationen überprüfen und umgehend Updates anwenden.
Wie behebe ich CVE-2021-21220?
Apply updates per vendor instructions. Stellen Sie sicher, dass alle betroffenen Systeme auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patchen nicht möglich ist, implementieren Sie Netzwerk-Level-Mitigationen, um die Angriffsfläche zu reduzieren.
Wie schwerwiegend ist CVE-2021-21220?
CVE-2021-21220 hat einen CVSS 3.1-Score von 8.8 (HIGH). Dies ist eine hochgradige Schwachstelle, die sofortige Aufmerksamkeit und Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.