CVE-2021-21224
Google Chromium V8 Type Confusion Vulnerability
Beschreibung
CVE-2021-21224 ist eine hochkritische Zugriff auf Ressource mit inkompatiblem Typ (Type Confusion)-Schwachstelle in Google Chromium V8. Die Google Chromium V8-Engine enthält eine Type-Confusion-Schwachstelle, die es einem entfernten Angreifer ermöglicht, über eine speziell gestaltete HTML-Seite Code innerhalb einer Sandbox auszuführen. Diese Schwachstelle kann mehrere Chromium-basierte Webbrowser betreffen, darunter Google Chrome, Microsoft Edge und Opera. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 60,00% (98,2. Perzentile) besteht eine erhebliche Wahrscheinlichkeit der Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 90.0.4430.85 | |
| debian | debian linux | 10.0 |
| fedoraproject | fedora | 32; 33; 34 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_20.html(Release Notes)
- https://crbug.com/1195777(Exploit, Issue Tracking)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EAJ42L4JFPBJATCZ7MOZQTUDGV4OEHHG/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U3GZ42MYPGD35V652ZPVPYYS7A7LVXVY/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VUZBGKGVZADNA3I24NVG7HAYYUTOSN5A/(Release Notes)
- https://security.gentoo.org/glsa/202104-08(Third Party Advisory)
- https://www.debian.org/security/2021/dsa-4906(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21224(US Government Resource)
Schwachstellentyp
CWE-843: Zugriff auf Ressource mit inkompatiblem Typ ('Type Confusion')
Type Confusion tritt auf, wenn ein Produkt eine Ressource mit einem Typ allokiert oder initialisiert, aber später auf diese Ressource mit einem inkompatiblen Typ zugreift. Wenn die Ressource mit dem falschen Typ zugegriffen wird, fehlen möglicherweise erwartete Eigenschaften, was logische Fehler auslöst.
Mehr erfahren: CWE-843 — Zugriff auf Ressource mit inkompatiblem Typ ('Type Confusion')
Auswirkungsanalyse
CVE-2021-21224 hat einen CVSS 3.1-Score von 8.8 (HIGH) und stellt eine schwerwiegende Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar bei geringer Angriffskomplexität und ohne Authentifizierung, wobei eine Benutzerinteraktion erforderlich ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit von Daten schwerwiegend gefährden und unbefugte Datenänderungen ermöglichen und vollständige Dienstausfälle verursachen. Organisationen mit betroffenen Chromium-basierten Browsern tragen ein erhebliches operatives Risiko, solange diese Schwachstelle nicht behoben ist.
Exploit-Reifegrad
CVE-2021-21224 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Der EPSS-Score von 60,00% (98,2. Perzentile) zeigt eine erhebliche Ausnutzungswahrscheinlichkeit. Die Schwachstelle betrifft eine weit verbreitete Browser-Engine, was den Pool potenzieller Ziele vergrößert. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2021-11-17 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Aktualisieren Sie alle Chromium-basierten Browser (Google Chrome, Microsoft Edge, Opera und andere) auf die neueste stabile Version, die diese Schwachstelle behebt.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Zugriff auf nicht vertrauenswürdige Webinhalte und erwägen Sie, die betroffene Browserkomponente zu deaktivieren.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Prozessaktivität, unerwarteter Netzwerkverbindungen und unautorisierter Konfigurationsänderungen.
- Überprüfen Sie Sicherheitsprotokolle und führen Sie Threat Hunting durch, um festzustellen, ob die Schwachstelle vor dem Patchen ausgenutzt wurde.
Technische Details
CVE-2021-21224 betrifft Google Chromium V8. Die Google Chromium V8-Engine enthält eine Type-Confusion-Schwachstelle, die es einem entfernten Angreifer ermöglicht, über eine speziell gestaltete HTML-Seite Code innerhalb einer Sandbox auszuführen. Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein Angreifer diese Schwachstelle aus der Ferne ausnutzen kann, indem ein Opfer auf eine speziell gestaltete Webseite gelockt wird. Der CVSS-Score von 8.8 spiegelt die Kombination aus geringer Angriffskomplexität, keinen erforderlichen Privilegien und schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2021-21224 aktiv ausgenutzt?
Ja. CVE-2021-21224 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 60,00% (98,2. Perzentile) zeigt eine erhebliche Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-21224 betroffen?
CVE-2021-21224 betrifft Google Chromium V8. Da die Schwachstelle in der Chromium-Engine liegt, können mehrere Browser betroffen sein, darunter Google Chrome, Microsoft Edge und Opera.
Wie behebe ich CVE-2021-21224?
Apply updates per vendor instructions. Stellen Sie sicher, dass alle Chromium-basierten Browser auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patchen nicht möglich ist, implementieren Sie Netzwerk-Level-Mitigationen, um die Exposition gegenüber nicht vertrauenswürdigen Webinhalten zu begrenzen.
Wie schwerwiegend ist CVE-2021-21224?
CVE-2021-21224 hat einen CVSS 3.1-Score von 8.8 (HIGH). Dies ist eine hochkritische Schwachstelle, die sofortige Aufmerksamkeit und Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.