CVE-2022-4135
Google Chromium GPU Heap Buffer Overflow Vulnerability
Beschreibung
CVE-2022-4135 ist eine kritische Heap-Buffer-Overflow-Schwachstelle in der GPU-Komponente von Google Chrome (Versionen vor 107.0.5304.121). Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann über eine speziell präparierte HTML-Seite die Sandbox von Chrome umgehen und potenziell beliebigen Code auf dem zugrunde liegenden Betriebssystem ausführen. Die Schwachstelle wurde mit einem CVSS-Score von 9.6 (Kritisch) bewertet und betrifft neben Google Chrome auch Microsoft Edge sowie andere Chromium-basierte Browser. Die CISA hat die aktive Ausnutzung bestätigt und CVE-2022-4135 in den KEV-Katalog aufgenommen. Obwohl der EPSS-Score mit 0,14 % vergleichsweise niedrig ist, belegt die KEV-Aufnahme die reale Bedrohung durch diese Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 107.0.5304.121 | |
| microsoft | edge | < 107.0.1418.62 |
| microsoft | edge chromium | < 107.0.5304.150 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_24.html(Release Notes, Vendor Advisory)
- https://crbug.com/1392715(Exploit, Issue Tracking)
- https://security.gentoo.org/glsa/202305-10(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-4135(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Bei CVE-2022-4135 tritt ein Out-of-bounds Write (Heap Buffer Overflow) in der GPU-Komponente von Google Chrome auf. Die Schwachstelle ermöglicht das Schreiben von Daten über die Grenzen des zugewiesenen Heap-Speicherbereichs hinaus, was zur Korruption benachbarter Speicherstrukturen führt. Im Kontext von Chrome kann dies von einem Angreifer ausgenutzt werden, um die Sandbox-Isolation zu durchbrechen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2022-4135 erhält mit einem CVSS-Score von 9.6 die Einstufung Kritisch und stellt eine besonders schwerwiegende Bedrohung dar, da die Schwachstelle einen Sandbox Escape ermöglicht. Angriffsvektor (Netzwerk): Die Schwachstelle ist über das Internet ausnutzbar, indem ein Opfer eine manipulierte Webseite besucht. Angriffskomplexität (Niedrig): Obwohl ein vorheriger Renderer-Kompromiss erforderlich ist, stuft der CVSS-Vektor die Komplexität als niedrig ein. Benutzerinteraktion (Erforderlich): Das Opfer muss eine präparierte HTML-Seite aufrufen. Scope (Changed): Dies ist besonders kritisch — die Schwachstelle kann Ressourcen über die verwundbare Komponente hinaus beeinflussen, da der Sandbox Escape den Zugriff auf das Betriebssystem ermöglicht. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des Systems führen, einschließlich Datendiebstahl, Malware-Installation und Systemmanipulation. Da neben Chrome auch Microsoft Edge und andere Chromium-basierte Browser betroffen sind, ist der potenzielle Betroffenenkreis erheblich.
Exploit-Reifegrad
CVE-2022-4135 wird aktiv ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog bestätigt. Öffentlich verfügbarer Exploit-Code ist über den Chromium Bug Tracker dokumentiert, wobei die Details als Exploit-Referenz gekennzeichnet sind. Die Behebungsfrist laut CISA war der 19. Dezember 2022. Obwohl der EPSS-Score mit 0,14 % (34. Perzentil) vergleichsweise niedrig ist, darf dies nicht über die reale Bedrohung hinwegtäuschen — die bestätigte aktive Ausnutzung in der Praxis wiegt schwerer als statistische Vorhersagemodelle. Eine direkte Verbindung zu Ransomware-Kampagnen ist derzeit nicht bekannt.
Behebung
- Google Chrome aktualisieren: Aktualisieren Sie Google Chrome umgehend auf Version 107.0.5304.121 oder höher. Die Aktualisierung erfolgt über das Chrome-Menü unter Hilfe > Über Google Chrome und erfordert einen Neustart des Browsers.
- Alle Chromium-basierten Browser prüfen: Stellen Sie sicher, dass auch Microsoft Edge und andere Chromium-basierte Browser (Brave, Opera, Vivaldi) auf Versionen aktualisiert sind, die den Fix für CVE-2022-4135 enthalten.
- Speicherschutzmechanismen aktivieren: Stellen Sie sicher, dass Betriebssystem-seitige Schutzmechanismen wie ASLR (Address Space Layout Randomization) und DEP (Data Execution Prevention) aktiviert sind, um die Ausnutzung von Heap-Buffer-Overflows zu erschweren.
- Netzwerkbasierte Schutzmaßnahmen: Setzen Sie URL-Filter, Web-Proxies und DNS-basierte Schutzlösungen ein, um den Zugriff auf bekannte bösartige Webseiten zu blockieren, die diese Schwachstelle ausnutzen könnten.
- Endpoint Detection and Response: Überwachen Sie Endpunkte auf verdächtiges Verhalten von Browser-Prozessen, insbesondere auf ungewöhnliche Sandbox-Ausbruchsversuche und Prozesserstellungen durch den Chrome-GPU-Prozess.
Technische Details
CVE-2022-4135 basiert auf einem Out-of-bounds Write (CWE-787) im Heap-Speicher der GPU-Komponente von Google Chrome. Bei einem Heap Buffer Overflow werden Daten über die Grenzen eines zugewiesenen Speicherblocks hinaus geschrieben, was zur Korruption von Kontrollstrukturen und potenziell zur Codeausführung führen kann. Voraussetzung: Der Angreifer muss zunächst den Renderer-Prozess von Chrome kompromittiert haben (etwa über eine separate Schwachstelle), um anschließend über den Heap Buffer Overflow in der GPU-Komponente einen Sandbox Escape durchzuführen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H zeigt insbesondere durch den Scope-Wert Changed, dass die Auswirkungen über die verwundbare Komponente (Browser-Sandbox) hinausreichen und das zugrunde liegende Betriebssystem betreffen können. Die Tatsache, dass neben Chrome auch Microsoft Edge und Edge Chromium in den betroffenen Produkten gelistet sind, bestätigt, dass die Schwachstelle im gemeinsamen Chromium-Quellcode liegt.
Häufig gestellte Fragen
Wird CVE-2022-4135 aktiv ausgenutzt?
Ja, CVE-2022-4135 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und eine Behebungsfrist bis zum 19. Dezember 2022 festgelegt. Exploit-Details sind über den Chromium Bug Tracker dokumentiert. Eine Verbindung zu Ransomware-Kampagnen ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2022-4135 betroffen?
Betroffen sind Google Chrome (Versionen vor 107.0.5304.121), Microsoft Edge und Microsoft Edge Chromium. Da die Schwachstelle in der gemeinsamen Chromium-GPU-Komponente liegt, sind potenziell alle Chromium-basierten Browser betroffen.
Wie behebe ich CVE-2022-4135?
Aktualisieren Sie Google Chrome auf Version 107.0.5304.121 oder höher und prüfen Sie alle Chromium-basierten Browser auf entsprechende Sicherheitsupdates. Ergänzend sollten Sie Endpoint-Überwachung einsetzen, um verdächtige Aktivitäten von Browser-Prozessen zu erkennen.
Wie schwerwiegend ist CVE-2022-4135?
Mit einem CVSS-Score von 9.6 (Kritisch) gehört CVE-2022-4135 zu den schwerwiegendsten Chrome-Schwachstellen. Besonders kritisch ist der Scope-Wert Changed im CVSS-Vektor, der bedeutet, dass ein erfolgreicher Angriff die Browser-Sandbox durchbrechen und das zugrunde liegende Betriebssystem kompromittieren kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.