CVE-2022-2294
WebRTC Heap Buffer Overflow Vulnerability
Beschreibung
CVE-2022-2294 ist eine Heap-Buffer-Overflow-Schwachstelle in WebRTC, dem Open-Source-Projekt, das Webbrowsern Echtzeitkommunikationsfähigkeiten bereitstellt. Die Schwachstelle ermöglicht es einem Angreifer, über einen Heap-Pufferüberlauf in der WebRTC-Komponente Shellcode auszuführen. Da WebRTC in alle großen Webbrowser einschließlich Google Chrome integriert ist, kann die Schwachstelle durch den bloßen Besuch einer bösartigen Website ausgenutzt werden. Die CISA hat CVE-2022-2294 in ihren KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Kampagnen bestätigt. Der EPSS-Score von 1,17 % (78. Perzentil) deutet auf fortlaufende Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 103.0.5060.114 | |
| fedoraproject | extra packages for enterprise linux | 8.0 |
| fedoraproject | fedora | 35; 36 |
| webkitgtk | webkitgtk | < 2.36.5 |
| wpewebkit | wpe webkit | < 2.36.5 |
| apple | ipados | < 15.6 |
| apple | iphone os | < 15.6 |
| apple | mac os x | < 10.15.7; 10.15.7 |
| apple | macos | < 11.6.8; >= 12.0, < 12.5 |
| apple | tvos | < 15.6 |
| apple | watchos | < 8.7 |
| webrtc project | webrtc | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.openwall.com/lists/oss-security/2022/07/28/2(Mailing List, Third Party Advisory)
- https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html(Release Notes, Vendor Advisory)
- https://crbug.com/1341043(Permissions Required)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/5BQRTR4SIUNIHLLPWTGYSDNQK7DYCRSB/(Broken Link)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H2C4XOJVIILDXTOSMWJXHSQNEXFWSOD7/(Broken Link)
- https://security.gentoo.org/glsa/202208-35(Third Party Advisory)
- https://security.gentoo.org/glsa/202208-39(Third Party Advisory)
- https://security.gentoo.org/glsa/202311-11(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-2294(US Government Resource)
Schwachstellentyp
CWE-122: Heap-basierter Pufferüberlauf
CVE-2022-2294 nutzt eine Heap-basierte Pufferüberlauf-Schwäche in der WebRTC-Implementierung aus, bei der Daten über die Grenzen eines heap-allokierten Puffers hinaus geschrieben werden, während Echtzeitkommunikationsdaten verarbeitet werden. Heap-Pufferüberläufe korrumpieren dynamisch allokierte Speicherstrukturen und ermöglichen es einem Angreifer, Heap-Metadaten zu manipulieren, den Ausführungsfluss umzuleiten und letztlich beliebige Codeausführung innerhalb des Browserprozesses zu erreichen.
Mehr erfahren: CWE-122 — Heap-basierter Pufferüberlauf
Auswirkungsanalyse
CVE-2022-2294 stellt eine kritische Browser-Sicherheitsbedrohung dar, die alle Benutzer von Browsern betrifft, die die WebRTC-Bibliothek integriert haben. Die Schwachstelle ist aus der Ferne über das Netzwerk ausnutzbar, indem ein Benutzer zum Besuch einer bösartigen Website veranlasst wird. Die Angriffskomplexität ist relativ hoch, da sie präzise Heap-Manipulation erfordert, aber bei erfolgreicher Ausnutzung erreicht der Angreifer Shellcode-Ausführung innerhalb des Browserprozesses. Dies kann zur vollständigen Kompromittierung der Browsersitzung, zum Diebstahl von Cookies, Passwörtern und Session-Tokens, zum Zugriff auf andere im Browser gespeicherte Daten, zur Installation von Malware und potenziell zur Kompromittierung des Betriebssystems führen. Die bestätigte Verbindung zu Ransomware-Kampagnen macht diese Schwachstelle besonders gefährlich.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-2294 bestätigt und die Schwachstelle als mit Ransomware-Kampagnen assoziiert gekennzeichnet. Der EPSS-Score von 1,17 % (78. Perzentil) deutet auf moderate Ausnutzungswahrscheinlichkeit hin, konsistent mit der höheren technischen Komplexität für zuverlässige Heap-Buffer-Overflow-Ausnutzung in modernen Browsern mit Heap-Härtungsschutz. Trotz dieser Komplexität wurde die Schwachstelle erfolgreich in gezielten Angriffen weaponisiert. Google hat offengelegt, dass die Schwachstelle als Zero-Day vor der Verfügbarkeit des Patches ausgenutzt wurde. Es ist kein öffentlicher Proof-of-Concept-Exploit-Code weit verfügbar, was darauf hindeutet, dass der Exploit hauptsächlich von sophistizierten Bedrohungsakteuren verwendet wird.
Behebung
- Webbrowser sofort aktualisieren: Gemäß der CISA-KEV-Vorgabe Updates gemäß Herstelleranweisungen anwenden. Google Chrome, Microsoft Edge und andere Chromium-basierte Browser auf Versionen aktualisieren, die den WebRTC-Fix enthalten.
- Automatische Browser-Updates aktivieren: Alle verwalteten Browser so konfigurieren, dass Sicherheitsupdates automatisch heruntergeladen und installiert werden, um das Zeitfenster für zukünftige WebRTC-Schwachstellen zu minimieren.
- Browser-Isolation für Hochrisiko-Benutzer einsetzen: Remote Browser Isolation (RBI) für Benutzer implementieren, die häufig auf nicht vertrauenswürdige Websites zugreifen.
- WebRTC deaktivieren, wenn nicht benötigt: In Umgebungen, in denen Echtzeit-Kommunikationsfunktionen nicht benötigt werden, WebRTC in der Browser-Konfiguration deaktivieren oder mittels Browser-Richtlinien den WebRTC-Zugriff steuern.
- Endpoint Detection and Response (EDR) implementieren: EDR-Lösungen einsetzen, die Ausnutzungsversuche, Shellcode-Ausführung und Post-Exploitation-Aktivitäten aus Browserprozessen erkennen können.
Technische Details
CVE-2022-2294 ist eine Heap-basierte Pufferüberlauf-Schwachstelle in der WebRTC-Bibliothek (Web Real-Time Communication), die in alle großen Webbrowser integriert ist, um Peer-to-Peer-Audio-, Video- und Datenaustauschfunktionalität zu ermöglichen. Die Schwachstelle besteht in der Verarbeitung von WebRTC-Daten, wo unzureichende Grenzüberprüfung bei Eingabedaten zu einem Schreibvorgang führt, der die Grenzen eines heap-allokierten Puffers überschreitet. Ein Angreifer kann diesen Überlauf durch Bereitstellung speziell manipulierter WebRTC-Signalisierungs- oder Mediendaten über eine bösartige Webseite auslösen. Die Heap-Korruption ermöglicht es dem Angreifer, Heap-Metadaten und angrenzende Heap-Objekte zu manipulieren, um beliebige Codeausführung zu erreichen. Die Schwachstelle wurde als Zero-Day ausgenutzt, bevor Google den Chrome-Patch veröffentlichte.
Häufig gestellte Fragen
Wird CVE-2022-2294 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung von CVE-2022-2294 bestätigt und die Schwachstelle als mit Ransomware-Kampagnen assoziiert identifiziert. Die Schwachstelle wurde als Zero-Day vor der Verfügbarkeit von Patches ausgenutzt. Der EPSS-Score von 1,17 % (78. Perzentil) spiegelt fortlaufende, aber gezielte Ausnutzungsaktivität wider.
Welche Produkte sind von CVE-2022-2294 betroffen?
CVE-2022-2294 betrifft die WebRTC-Bibliothek, die in alle großen Webbrowser integriert ist, einschließlich Google Chrome, Microsoft Edge, Mozilla Firefox, Apple Safari und andere Chromium-basierte Browser. Jeder Browser, der die verwundbare WebRTC-Version verwendet, ist betroffen.
Wie behebe ich CVE-2022-2294?
Aktualisieren Sie alle Webbrowser auf ihre neuesten Versionen, die den WebRTC-Sicherheitsfix enthalten. Für Chrome auf die nach dem Security Advisory veröffentlichte Version aktualisieren. Automatische Browser-Updates auf allen verwalteten Geräten aktivieren.
Wie schwerwiegend ist CVE-2022-2294?
CVE-2022-2294 ist eine kritische Heap-Buffer-Overflow-Schwachstelle, die Shellcode-Ausführung über Browser-Ausnutzung ermöglicht. Mit bestätigter Zero-Day-Ausnutzung und Verbindung zu Ransomware-Kampagnen stellt sie eine erhebliche Bedrohung dar. Der EPSS-Score von 1,17 % (78. Perzentil) spiegelt gezielte Ausnutzung durch sophistizierte Bedrohungsakteure wider.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.