CVE-2021-30554
Google Chromium WebGL Use-After-Free Vulnerability
Beschreibung
CVE-2021-30554 ist eine hochkritische Verwendung nach Freigabe-Schwachstelle in Google Chromium WebGL. Google Chromium WebGL enthält eine Use-After-Free-Schwachstelle, die es einem entfernten Angreifer ermöglicht, über eine speziell gestaltete HTML-Seite potenziell eine Heap-Korruption auszunutzen. Diese Schwachstelle kann mehrere Chromium-basierte Webbrowser betreffen, darunter Google Chrome, Microsoft Edge und Opera. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 3,92% (88,1. Perzentile) besteht eine beachtliche Wahrscheinlichkeit der Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 91.0.4472.114 | |
| fedoraproject | fedora | 33; 34 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2021/06/stable-channel-update-for-desktop_17.html(Release Notes)
- https://crbug.com/1219857(Permissions Required)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ETMZL6IHCTCTREEL434BQ4THQ7EOHJ43/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PAT6EOXVQFE6JFMFQF4IKAOUQSHMHL54/(Release Notes)
- https://security.gentoo.org/glsa/202107-06(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-30554(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
Verwendung nach Freigabe (Use After Free, UAF) ist eine Schwachstelle, die auftritt, wenn Software einen Pointer weiterhin verwendet, nachdem der Speicher, auf den er verweist, freigegeben wurde. Sobald Speicher freigegeben ist, kann er für andere Zwecke neu allokiert werden.
Mehr erfahren: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2021-30554 hat einen CVSS 3.1-Score von 8.8 (HIGH) und stellt eine schwerwiegende Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar bei geringer Angriffskomplexität und ohne Authentifizierung, wobei eine Benutzerinteraktion erforderlich ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit von Daten schwerwiegend gefährden und unbefugte Datenänderungen ermöglichen und vollständige Dienstausfälle verursachen. Organisationen mit betroffenen Chromium-basierten Browsern tragen ein erhebliches operatives Risiko, solange diese Schwachstelle nicht behoben ist.
Exploit-Reifegrad
CVE-2021-30554 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Der EPSS-Score von 3,92% (88,1. Perzentile) zeigt eine messbare Ausnutzungswahrscheinlichkeit. Die Schwachstelle betrifft eine weit verbreitete Browser-Engine, was den Pool potenzieller Ziele vergrößert. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2021-11-17 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Aktualisieren Sie alle Chromium-basierten Browser (Google Chrome, Microsoft Edge, Opera und andere) auf die neueste stabile Version, die diese Schwachstelle behebt.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Zugriff auf nicht vertrauenswürdige Webinhalte und erwägen Sie, die betroffene Browserkomponente zu deaktivieren.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Prozessaktivität, unerwarteter Netzwerkverbindungen und unautorisierter Konfigurationsänderungen.
- Überprüfen Sie Sicherheitsprotokolle und führen Sie Threat Hunting durch, um festzustellen, ob die Schwachstelle vor dem Patchen ausgenutzt wurde.
Technische Details
CVE-2021-30554 betrifft Google Chromium WebGL. Google Chromium WebGL enthält eine Use-After-Free-Schwachstelle, die es einem entfernten Angreifer ermöglicht, über eine speziell gestaltete HTML-Seite potenziell eine Heap-Korruption auszunutzen. Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein Angreifer diese Schwachstelle aus der Ferne ausnutzen kann, indem ein Opfer auf eine speziell gestaltete Webseite gelockt wird. Der CVSS-Score von 8.8 spiegelt die Kombination aus geringer Angriffskomplexität, keinen erforderlichen Privilegien und schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2021-30554 aktiv ausgenutzt?
Ja. CVE-2021-30554 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 3,92% (88,1. Perzentile) zeigt eine messbare Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-30554 betroffen?
CVE-2021-30554 betrifft Google Chromium WebGL. Da die Schwachstelle in der Chromium-Engine liegt, können mehrere Browser betroffen sein, darunter Google Chrome, Microsoft Edge und Opera.
Wie behebe ich CVE-2021-30554?
Apply updates per vendor instructions. Stellen Sie sicher, dass alle Chromium-basierten Browser auf die neuesten gepatchten Versionen aktualisiert werden. Falls ein sofortiges Patchen nicht möglich ist, implementieren Sie Netzwerk-Level-Mitigationen, um die Exposition gegenüber nicht vertrauenswürdigen Webinhalten zu begrenzen.
Wie schwerwiegend ist CVE-2021-30554?
CVE-2021-30554 hat einen CVSS 3.1-Score von 8.8 (HIGH). Dies ist eine hochkritische Schwachstelle, die sofortige Aufmerksamkeit und Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.