CVE-2022-1096
Google Chromium V8 Type Confusion Vulnerability
Beschreibung
CVE-2022-1096 ist eine Type-Confusion-Schwachstelle in der V8-JavaScript-Engine, die von Google Chrome und anderen Chromium-basierten Browsern verwendet wird. Diese Schwachstelle ermöglicht es einem entfernten Angreifer, Heap Corruption über eine gestaltete HTML-Seite auszunutzen, was potenziell zu beliebiger Codeausführung innerhalb des Renderer-Prozesses des Browsers führt. Sie wurde als Zero-Day aktiv ausgenutzt und in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Mit einem EPSS-Score von 63,7 % (98,4. Perzentil) stellt diese Schwachstelle eine erhebliche browserbasierte Bedrohung dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 99.0.4844.84 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_25.html(Release Notes, Vendor Advisory)
- https://crbug.com/1309225(Permissions Required, Vendor Advisory)
- https://security.gentoo.org/glsa/202208-25(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-1096(US Government Resource)
Schwachstellentyp
CWE-843: Zugriff auf Ressourcen mit inkompatiblem Typ ('Type Confusion')
Type Confusion tritt auf, wenn ein Programm auf eine Ressource mit einem Typ zugreift, der mit dem tatsächlichen Typ inkompatibel ist, was zu Out-of-bounds-Speicherzugriffen, Heap Corruption und potenziell beliebiger Codeausführung führt. Bei CVE-2022-1096 verarbeitet die V8-JavaScript-Engine Typübergänge während der JIT-Kompilierung fehlerhaft, was eine Ausnutzung durch gestalteten JavaScript-Code ermöglicht. Weitere Details unter CWE-843.
Auswirkungsanalyse
Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, beliebigen Code innerhalb der Chrome-Renderer-Prozess-Sandbox auszuführen, wenn ein Benutzer eine bösartige oder kompromittierte Website besucht. Obwohl Chromes Multi-Prozess-Architektur und Sandbox Defense-in-Depth bieten, kann die Codeausführung innerhalb des Renderer-Prozesses dennoch auf sensible Daten im Kontext des Browser-Tabs zugreifen. In Kombination mit einer Sandbox-Escape-Schwachstelle könnte diese Type Confusion zu einer vollständigen Systemkompromittierung führen. Die weit verbreitete Nutzung von Chromium-basierten Browsern einschließlich Chrome, Edge, Opera und Brave bedeutet, dass ein erheblicher Teil der Internetnutzer potenziell gefährdet war.
Exploit-Reifegrad
CVE-2022-1096 wurde als Zero-Day aktiv ausgenutzt und am 28. März 2022 in den CISA-KEV-Katalog aufgenommen. Google bestätigte die Zero-Day-Ausnutzung in seinem Chrome-Sicherheitshinweis. Der EPSS-Score von 63,7 % (98,4. Perzentil) deutet auf signifikante Ausnutzungsaktivitäten hin. V8-Type-Confusion-Schwachstellen sind bei Exploit-Entwicklern aufgrund der leistungsfähigen Ausnutzungsprimitive, die sie bieten, hoch geschätzt. Der Zero-Day-Status deutet auf Ausnutzung durch sophistizierte Akteure vor der Patch-Verfügbarkeit hin.
Behebung
- Aktualisieren Sie Google Chrome auf Version 99.0.4844.84 oder höher und alle anderen Chromium-basierten Browser auf ihre entsprechenden gepatchten Versionen, wie vom CISA-KEV-Katalog gefordert.
- Aktivieren Sie automatische Browser-Updates, um die zeitnahe Anwendung zukünftiger Sicherheitspatches sicherzustellen.
- Setzen Sie Enterprise-Browser-Management-Richtlinien ein, die Mindest-Browser-Versionsanforderungen in der gesamten Organisation durchsetzen.
- Erwägen Sie die Implementierung von Browser-Isolationslösungen für risikoreiche Browsing-Aktivitäten, um potenzielle Ausnutzung einzudämmen.
- Überwachen Sie ungewöhnliches Browser-Prozessverhalten, das auf Ausnutzungsversuche hindeuten könnte, wie unerwartete Kindprozesse, die vom Browser gestartet werden.
Technische Details
Die Schwachstelle befindet sich in der Just-In-Time (JIT)-Kompilierungspipeline der V8-JavaScript-Engine, die die JavaScript-Ausführung durch Kompilierung häufig ausgeführter Codepfade in nativen Maschinencode optimiert. Ein Type-Confusion-Bug in der Typinferenzlogik des JIT-Compilers veranlasst ihn, falsche Annahmen über die Typen von JavaScript-Objekten während der Optimierung zu treffen. Wenn der optimierte Code mit einem Objekt eines unerwarteten Typs ausgeführt wird, greift er mit falschen Offsets und Größen auf den Speicher zu, was zu Heap Corruption führt. Ein Angreifer kann dies ausnutzen, indem er JavaScript-Code erstellt, der die Type-Confusion-Bedingung auslöst, und dann die resultierende Heap Corruption nutzt, um Ausnutzungsprimitive für beliebigen Lese-/Schreibzugriff innerhalb des Renderer-Prozess-Speicherraums aufzubauen.
Häufig gestellte Fragen
Was ist CVE-2022-1096?
CVE-2022-1096 ist eine Type-Confusion-Schwachstelle in der V8-JavaScript-Engine, die von Chrome und anderen Chromium-basierten Browsern verwendet wird. Sie ermöglicht es Angreifern, Code innerhalb des Renderer-Prozesses des Browsers auszuführen, wenn ein Benutzer eine bösartige Webseite besucht.
Welche Browser sind betroffen?
Alle Chromium-basierten Browser sind betroffen, einschließlich Google Chrome, Microsoft Edge, Opera, Brave, Vivaldi und andere. Jeder Browser-Anbieter hat eigene Patches basierend auf dem V8-Engine-Fix veröffentlicht.
Kann einfaches Besuchen einer Website diesen Exploit auslösen?
Ja, Type-Confusion-Schwachstellen in V8 können durch JavaScript-Code auf einer Webseite ausgelöst werden. Das einfache Besuchen einer bösartigen oder kompromittierten Website könnte die Ausnutzung ohne zusätzliche Benutzerinteraktion auslösen.
Wurde dies in realen Angriffen eingesetzt?
Ja, Google bestätigte, dass CVE-2022-1096 als Zero-Day aktiv ausgenutzt wurde, bevor der Patch veröffentlicht wurde. Die spezifischen Details der Angriffe und betroffenen Opfer wurden von Google nicht öffentlich bekannt gegeben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.