CVE-2023-6345
Google Skia Integer Overflow Vulnerability
Beschreibung
CVE-2023-6345 ist ein kritischer Integer-Overflow in der Skia-Grafikbibliothek von Google Chrome, der Angreifern unter bestimmten Bedingungen einen Sandbox-Escape ermöglichte. Die Schwachstelle ermöglichte es einem Angreifer, der bereits den Renderer-Prozess kompromittiert hatte, durch eine manipulierte Datei aus der Chrome-Sandbox auszubrechen und Code mit erhöhten Rechten auf dem Hostsystem auszuführen. Mit einem CVSS-Score von 9.6 (CRITICAL) und bestätigter aktiver Ausnutzung im KEV-Katalog der CISA ist CVE-2023-6345 eine der schwerwiegendsten Chrome-Schwachstellen des Jahres 2023. Google hat das Problem in Chrome 119.0.6045.199 sowie in Microsoft Edge (Chromium-basiert) behoben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 119.0.6045.199 | |
| debian | debian linux | 11.0; 12.0 |
| fedoraproject | fedora | 37; 38; 39 |
| microsoft | edge chromium | < 119.0.2151.97 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_28.html(Release Notes)
- https://crbug.com/1505053(Permissions Required)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/6T7ABNYMOI4ZHVCSPCNP7HQTOLGF53A2/(Broken Link, Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/C7XQNYZZA3X2LBJF57ZHKXWOMJKNLZYR/(Broken Link, Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/UJROPNKWW65R34J4IYGTJ7A3OBPUL4IQ/(Broken Link, Mailing List)
- https://security.gentoo.org/glsa/202401-34(Third Party Advisory)
- https://www.debian.org/security/2023/dsa-5569(Mailing List)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-6345(US Government Resource)
Schwachstellentyp
CWE-190: Integer Overflow or Wraparound
CWE-190 beschreibt eine Schwachstellenklasse, bei der arithmetische Berechnungen einen Wert erzeugen, der die maximale Größe des verwendeten Integer-Datentyps überschreitet, woraufhin der Wert unerwartet umschlägt (Wraparound). Bei CVE-2023-6345 führte ein solcher Integer-Overflow in der Skia-Grafikbibliothek dazu, dass Speicherberechnungen fehlerhafte Ergebnisse lieferten, die für einen Sandbox-Escape ausgenutzt werden konnten.
Mehr erfahren: CWE-190 — Integer Overflow or Wraparound
Auswirkungsanalyse
CVE-2023-6345 ist über das Netzwerk aus der Ferne ausnutzbar und erfordert lediglich eine Benutzerinteraktion (z. B. das Öffnen einer manipulierten Datei). Mit einem CVSS-Score von 9.6 (CRITICAL) und einem veränderten Scope (CHANGED) kann ein erfolgreicher Angriff Ressourcen außerhalb der eigentlichen Sandbox-Umgebung kompromittieren. Dies bedeutet: Vollständiger Zugriff auf Vertraulichkeit, Integrität und Verfügbarkeit des gesamten Systems jenseits der Chrome-Sandbox. Der EPSS-Score von 0.61 % (69. Perzentile) deutet auf ein erhöhtes Ausnutzungsrisiko hin. Da die Schwachstelle bereits aktiv ausgenutzt wurde und im KEV-Katalog gelistet ist, besteht für Unternehmen und Privatpersonen, die Google Chrome oder Microsoft Edge nutzen, dringender Handlungsbedarf.
Exploit-Reifegrad
CVE-2023-6345 wurde aktiv als Zero-Day-Exploit ausgenutzt, was Google zur Veröffentlichung eines Notfall-Updates (Out-of-Band Release) für Chrome veranlasste. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen (Behebungsfrist: 21. Dezember 2023), was die aktive Ausnutzung im freien Feld offiziell bestätigt. Der EPSS-Score von 0,611 % (69,4. Perzentile) ist für eine Browser-Schwachstelle vergleichsweise hoch und spiegelt das erhöhte Ausnutzungsrisiko wider. CVE-2023-6345 setzt voraus, dass ein Angreifer bereits den Chrome-Renderer-Prozess kompromittiert hat, was typischerweise durch eine weitere Browser-Schwachstelle geschieht – als Teil einer mehrstufigen Exploit-Kette ermöglicht CVE-2023-6345 den abschließenden Sandbox-Escape für vollständige Systemkontrolle.
Behebung
- Google Chrome: Update auf Version 119.0.6045.199 oder neuer über Chrome-Menü → Hilfe → Über Google Chrome
- Microsoft Edge: Update auf die entsprechende gepatchte Chromium-Version über Einstellungen → Über Microsoft Edge
- Debian Linux: Sicherheitspaket gemäß Debian Security Advisory DSA-5569 einspielen
- Fedora: Chromium-Pakete über den Paketmanager aktualisieren (dnf update chromium)
- Sofortmaßnahme: Browser sofort neu starten, nachdem das Update heruntergeladen wurde, um den Patch zu aktivieren
- Unternehmensumgebungen: Zentrale Browser-Update-Richtlinien prüfen und ggf. Notfall-Rollout des Updates durchführen
- Verifizierung: Nach dem Update in der Chrome-Versionsinformation prüfen, ob Version 119.0.6045.199 oder höher installiert ist
Technische Details
CVE-2023-6345 ist ein Integer-Overflow (CWE-190) in der Skia-Grafikbibliothek, die in Google Chrome, Chromium und darauf basierenden Browsern wie Microsoft Edge verwendet wird. Der CVSS 3.1-Vektor AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H zeigt die kritische Natur: netzwerkbasiert ausnutzbar, geringe Komplexität, keine Privilegien erforderlich, Benutzerinteraktion nötig, aber mit einem veränderten Scope – was bedeutet, dass die Auswirkungen über die Sandbox-Grenzen des Renderers hinausgehen. Der Angriff setzt eine bereits kompromittierte Renderer-Umgebung voraus (z. B. durch eine weitere Schwachstelle im Browser). Durch den Integer-Overflow in Skia konnte ein Angreifer Speicheroperationen so manipulieren, dass sie außerhalb erlaubter Speicherbereiche stattfinden, was letztlich den Escape aus der Chrome-Sandbox ermöglichte. Google hat die Schwachstelle durch Notfall-Update (Out-of-Band Release) in Chrome 119.0.6045.199 behoben.
Häufig gestellte Fragen
Wird CVE-2023-6345 aktiv ausgenutzt?
Ja. CVE-2023-6345 ist im KEV-Katalog der CISA als aktiv ausgenutzte Schwachstelle gelistet, mit einer Behebungsfrist bis zum 21. Dezember 2023. Google hat das Update als Notfall-Release veröffentlicht, was auf Zero-Day-Ausnutzung vor Verfügbarkeit des Patches hindeutet. Der EPSS-Score von 0.61 % (69. Perzentile) bestätigt das erhöhte Ausnutzungsrisiko.
Welche Produkte sind von CVE-2023-6345 betroffen?
Betroffen sind Google Chrome vor Version 119.0.6045.199, Microsoft Edge (Chromium-basiert) in entsprechenden Versionen, Debian Linux sowie Fedora mit Chromium-Paketen. Alle Chromium-basierten Browser, die Skia in der betroffenen Version einsetzen, sind potenziell gefährdet.
Wie behebe ich CVE-2023-6345?
Die Behebung erfolgt durch das Update auf Google Chrome 119.0.6045.199 oder neuer. Der Update-Vorgang ist einfach: Chrome-Menü → Hilfe → Über Google Chrome. Nach dem Download wird der Browser automatisch aktualisiert. Für Microsoft Edge gilt entsprechend das Update auf die gepatchte Chromium-Version. Linux-Nutzer sollten ihre Distribution-spezifischen Sicherheitsupdates einspielen.
Wie schwerwiegend ist CVE-2023-6345?
CVE-2023-6345 ist mit einem CVSS-Score von 9.6 (CRITICAL) eingestuft und zählt zu den schwerwiegendsten Browser-Schwachstellen des Jahres 2023. Ein Sandbox-Escape bedeutet, dass Angreifer aus der isolierten Browser-Umgebung ausbrechen und Code auf dem Hostsystem ausführen können – mit potenziell vollständigem Zugriff auf das gesamte System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.