CVE-2023-7024
Google Chromium WebRTC Heap Buffer Overflow Vulnerability
Beschreibung
CVE-2023-7024 ist eine kritische Heap-Buffer-Overflow-Schwachstelle in der WebRTC-Implementierung von Google Chrome, die in Versionen vor 120.0.6099.129 vorhanden ist. Ein entfernter Angreifer kann durch eine speziell präparierte HTML-Seite eine Heap-Korruption auslösen und potenziell beliebigen Code im Kontext des Browsers ausführen. Die Schwachstelle ist mit einem CVSS-Score von 8,8 (HIGH) bewertet und erfordert lediglich eine Benutzerinteraktion in Form des Besuchs einer manipulierten Webseite. Da CVE-2023-7024 aktiv als Zero-Day ausgenutzt wurde und im CISA KEV-Katalog für Google Chromium WebRTC gelistet ist, bestand für Bundesbehörden eine Frist zur Behebung bis zum 23. Januar 2024. Nutzern wird dringend empfohlen, Chrome unverzüglich auf die neueste Version zu aktualisieren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 120.0.6099.129 | |
| debian | debian linux | 11.0; 12.0 |
| fedoraproject | fedora | 38; 39 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html(Vendor Advisory)
- https://crbug.com/1513170(Exploit, Issue Tracking)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/6M6AJDHUL6EDPURWQXGLUFJNDE7SOJT3/(Broken Link, Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/U6JL4VHZMHFGEGQYTF74533ZNRWMCMMR/(Broken Link, Mailing List)
- https://security.gentoo.org/glsa/202401-34(Third Party Advisory)
- https://www.debian.org/security/2023/dsa-5585(Mailing List)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-7024(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Die Schwachstelle basiert auf einem Heap-Buffer-Overflow (Out-of-bounds Write, CWE-787), der in der WebRTC-Komponente von Google Chrome auftritt. Ein Heap-Buffer-Overflow entsteht, wenn ein Programm mehr Daten in einen Speicherbereich schreibt, als dieser aufnehmen kann, was zu einer Korruption benachbarter Speicherbereiche führt. Im Kontext von WebRTC kann ein Angreifer durch das Senden speziell konstruierter Daten oder das Laden einer manipulierten HTML-Seite den Heap-Speicher des Chrome-Prozesses überschreiben. Dies kann zur Ausführung von beliebigem Code, einem Absturz der Anwendung oder anderen undefinierten Verhaltensweisen führen.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Ein erfolgreicher Angriff ermöglicht dem Angreifer vollständigen Zugriff auf im Browser gespeicherte Daten, darunter Anmeldedaten, Sitzungscookies und persönliche Informationen.
Integrität (HIGH): Durch die Möglichkeit zur Codeausführung kann der Angreifer Browseraktionen manipulieren, Dateisystemoperationen durchführen und Systemkonfigurationen verändern.
Verfügbarkeit (HIGH): Die Heap-Korruption kann zu einem sofortigen Browserabsturz führen; bei erfolgreicher Ausnutzung kann der Angreifer persistenten Zugriff erlangen und die Systemverfügbarkeit dauerhaft beeinträchtigen.
Angriffsvektor: Die Schwachstelle ist über das Netzwerk ausnutzbar (Angriffsvektor: Netzwerk, Angriffskomplexität: Niedrig). Der Angreifer muss den Nutzer lediglich dazu bringen, eine präparierte Webseite zu besuchen, ohne dass erweiterte Rechte erforderlich sind. Da WebRTC in nahezu allen modernen Browsern auf Chromium-Basis verwendet wird, ist die potenzielle Angriffsfläche sehr groß.
Exploit-Reifegrad
Aktive Ausnutzung bestätigt: CVE-2023-7024 wurde vor der Veröffentlichung des Patches aktiv als Zero-Day ausgenutzt. Google hat in seinem Sicherheitsbulletin bestätigt, dass ein Exploit für diese Schwachstelle in freier Wildbahn existierte. Die CISA hat die Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was die aktive Ausnutzung durch Bedrohungsakteure belegt.
EPSS-Score: Mit einem EPSS-Score von 0,029 und einem Perzentil-Rang von 86,1 % zeigt die Schwachstelle eine deutlich überdurchschnittliche Ausnutzungswahrscheinlichkeit. Ein Proof-of-Concept-Exploit wurde über den Chromium-Bugtracker (crbug.com/1513170) gemeldet. Es ist kein bekannter Zusammenhang mit Ransomware-Kampagnen dokumentiert.
Behebung
- Sofort-Maßnahme: Chrome aktualisieren — Aktualisieren Sie Google Chrome unverzüglich auf Version 120.0.6099.129 oder höher. Das Update behebt die Heap-Buffer-Overflow-Schwachstelle in WebRTC vollständig.
- Chromium-basierte Browser prüfen — Überprüfen und aktualisieren Sie alle anderen Chromium-basierten Browser in Ihrer Umgebung (z. B. Microsoft Edge, Brave), da diese ebenfalls von der Schwachstelle betroffen sein können.
- Unternehmensweites Patch-Management — Stellen Sie sicher, dass das Browser-Update über Ihr Endpoint-Management-System (z. B. WSUS, Intune, JAMF) flächendeckend ausgerollt wird.
- Betriebssystem-Pakete aktualisieren — Nutzer von Debian Linux und Fedora sollten die entsprechenden Sicherheitsupdates (DSA-5585 für Debian) über ihre Paketverwaltung einspielen.
- Monitoring intensivieren — Überwachen Sie Endpoint-Logs auf Anzeichen einer Ausnutzung, insbesondere ungewöhnliche Prozessaktivitäten aus dem Chrome-Prozess heraus.
- CISA-Empfehlung beachten — Bundesbehörden und regulierte Organisationen müssen die Schwachstelle gemäß CISA-Direktive bis zum 23. Januar 2024 behoben haben bzw. den Einsatz des Produkts einstellen, falls keine Abhilfe möglich ist.
Technische Details
Schwachstellenkomponente: Die Schwachstelle befindet sich in der WebRTC (Web Real-Time Communication)-Implementierung von Google Chrome. WebRTC ist ein Open-Source-Framework für Echtzeit-Kommunikation direkt im Browser (Audio, Video, Dateiübertragung) ohne zusätzliche Plugins.
Technischer Mechanismus: Ein Heap-Buffer-Overflow (CWE-787) tritt auf, wenn Chrome WebRTC-Daten verarbeitet, die über eine manipulierte HTML-Seite bereitgestellt werden. Dabei schreibt der Chrome-Prozess über die Grenzen eines im Heap allozierten Puffers hinaus und überschreibt angrenzende Speicherbereiche. Dies kann genutzt werden, um kritische Datenstrukturen zu korrumpieren oder beliebigen Shellcode einzuschleusen.
Angriffsablauf: Der Angreifer erstellt eine speziell präparierte HTML-Seite, die schädliche WebRTC-Medienströme oder -Konfigurationen enthält. Sobald ein Nutzer diese Seite im verwundbaren Chrome-Browser öffnet, wird der Overflow ausgelöst. Bei erfolgreicher Ausnutzung kann der Angreifer Code im Kontext des Browser-Prozesses ausführen.
Betroffene Versionen: Google Chrome < 120.0.6099.129, Debian Linux (vor DSA-5585), Fedora (vor den gepatchten Paketen).
Häufig gestellte Fragen
Wird CVE-2023-7024 aktiv ausgenutzt?
Ja. CVE-2023-7024 wurde vor der Veröffentlichung des Sicherheitspatches aktiv als Zero-Day ausgenutzt. Google hat dies in seinem Sicherheitsbulletin bestätigt und die CISA hat die Schwachstelle in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Alle Nutzer von Google Chrome sollten sofort aktualisieren.
Welche Produkte sind von CVE-2023-7024 betroffen?
Betroffen sind Google Chrome in allen Versionen vor 120.0.6099.129, Debian Linux (Chromium-Pakete vor DSA-5585) sowie Fedora-Pakete mit Chrome bzw. Chromium. Alle Anwendungen und Systeme, die Chromium-basierte Browser einsetzen, können potenziell betroffen sein.
Wie behebe ich CVE-2023-7024?
Aktualisieren Sie Google Chrome auf Version 120.0.6099.129 oder neuer. Für Debian Linux steht das Sicherheitsupdate DSA-5585 bereit; Fedora-Nutzer sollten ihre Pakete über den Paketmanager aktualisieren. Überprüfen Sie zusätzlich alle Chromium-basierten Browser in Ihrer Umgebung auf verfügbare Updates.
Wie schwerwiegend ist CVE-2023-7024?
CVE-2023-7024 ist mit einem CVSS-Score von 8,8 als HIGH eingestuft. Die Schwachstelle ermöglicht Remotecodeausführung über das Netzwerk ohne erhöhte Rechte bei lediglich geringer Benutzerinteraktion (Besuch einer präparierten Webseite). Aufgrund der aktiven Ausnutzung als Zero-Day und der Aufnahme in den CISA KEV-Katalog ist das Risiko als sehr hoch einzustufen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.