CVE-2023-5217

HIGH(8.8)KEVErhöhtes Risiko

Google Chromium libvpx Heap Buffer Overflow Vulnerability

Beschreibung

CVE-2023-5217 ist eine kritische Heap-Buffer-Overflow-Schwachstelle (CWE-787) in der VP8-Kodierung der libvpx-Bibliothek, die unter anderem in Google Chrome, Mozilla Firefox, Microsoft Edge und Apple-Produkten eingesetzt wird. Ein entfernter Angreifer kann durch eine speziell präparierte HTML-Seite eine Heap-Korruption auslösen und potenziell beliebigen Code auf dem Zielsystem ausführen. Die CISA hat CVE-2023-5217 in ihren KEV-Katalog aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 3,52 % betrifft die Sicherheitslücke eine Vielzahl von Browsern und Betriebssystemen und erfordert dringendes Handeln.

KEV-Informationen

Hersteller
Google
Produkt
Chromium libvpx
Hinzugefügt am
2. Oktober 2023
Fälligkeitsdatum
23. Oktober 2023
Erforderliche Maßnahme
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
REQUIRED
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
2.8
Auswirkungsscore
5.9

CWEs

CWE-787Out-of-bounds Write

Out-of-bounds Write

Betroffene Produkte

HerstellerProduktVersion
webmprojectlibvpx< 1.13.1
microsoftedge116.0.1938.98; 117.0.2045.47
microsoftedge chromium116.0.5845.229; 117.0.5938.132
mozillafirefox< 115.3.1; < 118.0.1; < 118.1
mozillathunderbird< 115.3.1
fedoraprojectfedora37; 38; 39
debiandebian linux10.0; 11.0; 12.0
appleipados>= 17.0, < 17.0.3; 16.7
appleiphone os>= 17.0, < 17.0.3; 16.7
googlechrome< 117.0.5938.132
redhatenterprise linux9.0

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
8.8
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
8.8
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Referenzen

Schwachstellentyp

CWE-787: Out-of-bounds Write

Bei CVE-2023-5217 tritt ein Heap-Buffer-Overflow in der VP8-Kodierungsfunktion der libvpx-Bibliothek auf. Diese Out-of-bounds-Write-Schwachstelle ermöglicht es, Daten über die Grenzen des zugewiesenen Heap-Speichers hinaus zu schreiben, was zu einer Korruption des Heap-Speichers führt. Im Kontext von Webbrowsern kann ein Angreifer dies über eine manipulierte Webseite ausnutzen, um Kontrolle über den Programmfluss zu erlangen.

Mehr erfahren: CWE-787 — Out-of-bounds Write

Auswirkungsanalyse

CVE-2023-5217 ist über das Netzwerk ausnutzbar (AV:N), was bedeutet, dass ein Angreifer keinen physischen oder lokalen Zugang zum Zielsystem benötigt – es genügt, dass ein Benutzer eine manipulierte Webseite besucht. Die Angriffskomplexität ist niedrig (AC:L), es sind keine Berechtigungen (PR:N) erforderlich, und die Ausnutzung setzt lediglich eine Benutzerinteraktion (UI:R) voraus – nämlich das Aufrufen der präparierten Seite. Bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils hoch betroffen: Der Angreifer kann beliebigen Code im Kontext des Browsers ausführen, sensible Daten stehlen, Dateien manipulieren oder den Browser zum Absturz bringen. Mit einem CVSS-Score von 8.8 (HIGH) und der breiten Verbreitung der betroffenen libvpx-Bibliothek über zahlreiche Browser und Betriebssysteme hinweg ist das Risiko als erheblich einzustufen. Der EPSS-Score von 3,52 % (87. Perzentil) unterstreicht die überdurchschnittliche Ausnutzungswahrscheinlichkeit.

Exploit-Reifegrad

Die CISA hat CVE-2023-5217 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was bestätigt, dass die Sicherheitslücke in der libvpx-Bibliothek aktiv in freier Wildbahn ausgenutzt wird. Öffentlicher Exploit-Code ist verfügbar für CVE-2023-5217 über den Chromium Bug Tracker, wo die Schwachstelle als Exploit dokumentiert ist. Ob die Schwachstelle im Zusammenhang mit Ransomware-Kampagnen eingesetzt wird, ist derzeit nicht bekannt. Der EPSS-Score von 3,52 % (87. Perzentil) zeigt eine überdurchschnittliche Ausnutzungswahrscheinlichkeit, und die breite Betroffenheit – von Google Chrome über Firefox, Edge, Thunderbird bis hin zu Apple iOS und iPadOS – macht CVE-2023-5217 zu einer besonders weitreichenden Bedrohung.

Behebung

  1. Betroffene Software umgehend aktualisieren: Gemäß der KEV-Empfehlung der CISA sollten alle betroffenen Produkte auf gepatchte Versionen aktualisiert werden. Google Chrome muss auf Version 117.0.5938.132 oder höher aktualisiert werden, libvpx auf Version 1.13.1 oder höher. Die Behebungsfrist der CISA war der 23. Oktober 2023.

  2. Alle betroffenen Browser und Betriebssysteme patchen: Neben Google Chrome sind auch Mozilla Firefox, Microsoft Edge (Chromium-basiert), Mozilla Thunderbird, Apple iOS/iPadOS sowie Debian, Fedora und Red Hat Enterprise Linux betroffen. Stellen Sie sicher, dass über alle Plattformen hinweg die jeweils aktuellen Sicherheitsupdates installiert sind – insbesondere die von Mozilla und Apple bereitgestellten Patches.

  3. Netzwerkbasierte Schutzmaßnahmen implementieren: Da die Ausnutzung über manipulierte Webseiten erfolgt, sollten Web-Proxy- und Content-Filter-Lösungen eingesetzt werden, um den Zugriff auf bekannte bösartige Domains zu blockieren. WAF-Regeln können verdächtige VP8-Inhalte filtern.

  4. Überwachung und Erkennung verstärken: Überprüfen Sie Netzwerkprotokolle und Endpunkt-Erkennungssysteme auf Anzeichen einer Ausnutzung, insbesondere auf verdächtige Browser-Abstürze oder unerwartete Prozesse, die von Browser-Prozessen gestartet werden. Die verfügbaren Patches auf GitHub können als Grundlage für signaturbasierte Erkennung dienen.

  5. Langfristige Härtung: Aktivieren Sie automatische Browser-Updates auf allen verwalteten Geräten und implementieren Sie eine Richtlinie zur zeitnahen Einspielung von Sicherheitspatches für Medienbibliotheken. Erwägen Sie den Einsatz von Exploit-Mitigationstechnologien wie ASLR und CFI, die Heap-basierte Angriffe erschweren.

Technische Details

CVE-2023-5217 ist ein Heap-Buffer-Overflow (CWE-787) in der VP8-Kodierungsfunktion der libvpx-Bibliothek, einer weit verbreiteten Open-Source-Bibliothek für die VP8- und VP9-Videokodierung. Die Schwachstelle entsteht durch einen Out-of-bounds-Write-Fehler, bei dem während der VP8-Kodierung Daten über die Grenzen eines Heap-Puffers hinaus geschrieben werden, was zu einer Korruption angrenzender Speicherbereiche führt. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass ein Angreifer die Schwachstelle über das Netzwerk ausnutzen kann, indem er einen Benutzer dazu bringt, eine manipulierte HTML-Seite zu öffnen, die speziell konstruierte VP8-Videodaten enthält. Da die libvpx-Bibliothek direkt in die Medien-Engine zahlreicher Browser (Chrome, Firefox, Edge) und Betriebssysteme (iOS, Android, Linux-Distributionen) integriert ist, reicht ein einzelner fehlerhafter Commit in der Upstream-Bibliothek aus, um eine Vielzahl von Endprodukten zu gefährden. Die Patches in den libvpx-Commits adressieren die fehlerhafte Grenzprüfung in der VP8-Kodierungslogik.

Häufig gestellte Fragen

Wird CVE-2023-5217 aktiv ausgenutzt?

Ja, die CISA hat CVE-2023-5217 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Öffentlicher Exploit-Code ist über den Chromium Bug Tracker verfügbar. Ob die Schwachstelle im Zusammenhang mit Ransomware eingesetzt wird, ist derzeit nicht bekannt.

Welche Produkte sind von CVE-2023-5217 betroffen?

Die Schwachstelle betrifft eine Vielzahl von Produkten, die die libvpx-Bibliothek verwenden: Google Chrome (vor Version 117.0.5938.132), libvpx (vor Version 1.13.1), Mozilla Firefox und Thunderbird, Microsoft Edge (Chromium-basiert), Apple iOS und iPadOS sowie die Linux-Distributionen Debian, Fedora und Red Hat Enterprise Linux.

Wie behebe ich CVE-2023-5217?

Aktualisieren Sie Google Chrome auf Version 117.0.5938.132 oder höher und libvpx auf Version 1.13.1 oder höher. Stellen Sie sicher, dass auch alle anderen betroffenen Browser (Firefox, Edge, Thunderbird) und Betriebssysteme (iOS, iPadOS, Linux-Distributionen) auf die aktuellsten Sicherheitspatches aktualisiert werden.

Wie schwerwiegend ist CVE-2023-5217?

CVE-2023-5217 wird mit einem CVSS-Score von 8.8 als HIGH eingestuft. Die Schwachstelle kann über das Netzwerk ohne Authentifizierung ausgenutzt werden und ermöglicht bei erfolgreicher Ausnutzung die vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit. Der EPSS-Score von 3,52 % (87. Perzentil) weist auf eine überdurchschnittliche Ausnutzungswahrscheinlichkeit hin.

CVSS-Score

8.8
HIGH(8.8)

EPSS-Score

EPSS-Score49.01%
EPSS-Perzentil98.8%

Daten

Veröffentlicht28. September 2023
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen