CVE-2024-0519
Google Chromium V8 Out-of-Bounds Memory Access Vulnerability
Beschreibung
CVE-2024-0519 ist eine hochgradige Schwachstelle in der V8-JavaScript-Engine von Google Chrome, die in Versionen vor 120.0.6099.224 vorhanden ist. Die Schwachstelle ermöglicht einem entfernten Angreifer, über eine manipulierte HTML-Seite außerhalb der Grenzen liegenden Speicher zu lesen (Out-of-Bounds Memory Access) und potenziell Heap-Korrumpierung auszulösen. Der CVSS-Score beträgt 8.8 (HOCH). Für eine erfolgreiche Ausnutzung muss der Benutzer eine bösartige Webseite besuchen, was die Anforderung an Benutzerinteraktion gering hält. CVE-2024-0519 ist im CISA KEV-Katalog als aktiv ausgenutzt gelistet und unterstreicht damit die reale Bedrohungslage für Nutzer ungepatchter Chrome-Versionen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 120.0.6099.224 | |
| fedoraproject | fedora | 38; 39 |
| couchbase | couchbase server | < 7.2.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html(Release Notes)
- https://crbug.com/1517354(Permissions Required)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/IIUBRVICICWREJQUVT67RS7E4PVZQ5RS/(Broken Link, Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/TNN4SO5UI3U3Q6ASTVT6WMZ4723FYDLH/(Broken Link, Mailing List)
- https://www.couchbase.com/alerts/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-0519(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Diese Schwachstelle wird primär dem Typ CWE-787 (Out-of-bounds Write) zugeordnet. Dieser Fehlertyp tritt auf, wenn eine Anwendung Daten außerhalb der vorgesehenen Speichergrenzen eines Puffers schreibt, was zu Speicherkorrumpierung, Abstürzen oder zur Ausführung von Schadcode führen kann.
CWE-125: Out-of-bounds Read
Zusätzlich ist CWE-125 (Out-of-bounds Read) relevant. Dieser Typ beschreibt das Lesen von Daten jenseits der Puffergrenzen. In der V8-Engine kann dies dazu führen, dass sensible Speicherinhalte an einen Angreifer preisgegeben werden oder die Engine in einen instabilen Zustand versetzt wird.
Technischer Kontext: Die V8-JavaScript-Engine kompiliert und führt JavaScript-Code in Google Chrome aus. Speicherfehler in V8 sind besonders kritisch, da sie im Kontext des Renderers ausgeführt werden und als Einstiegspunkt für Browser-Exploits genutzt werden können, die zu vollständiger Systemkompromittierung führen können, insbesondere in Kombination mit weiteren Schwachstellen.
Auswirkungsanalyse
Vertraulichkeit (HOCH): Durch den Out-of-Bounds-Speicherzugriff kann ein Angreifer potenziell Speicherinhalte auslesen, die vertrauliche Informationen enthalten, etwa Browser-Sitzungsdaten, gespeicherte Passwörter oder andere im Browserprozess gehaltene Daten.
Integrität (HOCH): Die Heap-Korrumpierung kann dazu genutzt werden, Speicherstrukturen zu manipulieren und Angreifercode in den Browser-Prozess einzuschleusen. Im schlimmsten Fall kann ein Angreifer die vollständige Kontrolle über den Rendererprozess erlangen.
Verfügbarkeit (HOCH): Ein erfolgreicher Angriff kann zum Absturz des Browsers führen. Selbst ohne vollständige Code-Ausführung kann ein Denial-of-Service erreicht werden.
Benutzerinteraktion: Der Angriff erfordert, dass der Benutzer eine bösartige Webseite besucht. Dies ist eine niedrige Hürde, da soziale Manipulation, Phishing oder kompromittierte Werbung (Malvertising) als Vektoren genutzt werden können.
Weitere betroffene Produkte: Neben Google Chrome sind auch Fedora Linux und Couchbase Server als betroffene Produkte gelistet, da diese Chromium als Abhängigkeit einsetzen.
Exploit-Reifegrad
Aktive Ausnutzung bestätigt: CVE-2024-0519 ist im CISA KEV-Katalog gelistet, was eine bestätigte aktive Ausnutzung in der Praxis bedeutet. Der EPSS-Score von 0.00448 (63. Perzentile) erscheint auf den ersten Blick moderat, spiegelt jedoch nicht die tatsächliche Gefährlichkeit dieser Zero-Day-Schwachstelle wider, da Browser-Exploits häufig in gezielten Angriffen eingesetzt werden.
Angriffskomplexität: Die Angriffskomplexität ist als NIEDRIG eingestuft. Ein Angreifer muss lediglich eine präparierte HTML-Seite bereitstellen und den Benutzer dazu bringen, diese zu besuchen — ein gängiges Angriffsmuster bei Browser-Exploits.
Patch-Zeitpunkt: Google hat den Fix mit Version 120.0.6099.224 am 16. Januar 2024 bereitgestellt. Die CISA-Abhilfefrist für US-Bundesbehörden war der 7. Februar 2024.
Bekannte Verbindung zu Ransomware: Laut CISA KEV-Katalog ist keine direkte Ransomware-Verbindung bekannt (Unknown), jedoch werden Browser-Exploits regelmäßig als initiale Angriffsvektoren in mehrstufigen Angriffen eingesetzt.
Behebung
- Google Chrome aktualisieren: Aktualisieren Sie Google Chrome auf Version 120.0.6099.224 oder neuer. Öffnen Sie dazu in Chrome das Menü → Hilfe → Über Google Chrome. Der Browser prüft und installiert verfügbare Updates automatisch.
- Chromium-basierte Browser prüfen: Falls Sie andere Chromium-basierte Browser verwenden (z. B. Microsoft Edge, Brave, Opera), prüfen Sie, ob Updates für CVE-2024-0519 verfügbar sind und installieren Sie diese.
- Fedora-Systeme aktualisieren: Auf Fedora-Systemen installieren Sie das aktualisierte Chromium-Paket über den Paketmanager ().
- Couchbase Server aktualisieren: Prüfen Sie die Couchbase-Sicherheitshinweise und installieren Sie verfügbare Updates für Couchbase Server.
- Browsersicherheit erhöhen: Aktivieren Sie den erweiterten Schutz in den Chrome-Sicherheitseinstellungen. Deaktivieren Sie JavaScript auf nicht vertrauenswürdigen Seiten, falls dies operativ möglich ist.
- Phishing-Prävention: Schulen Sie Benutzer darin, keine unbekannten Links in E-Mails oder Nachrichten anzuklicken, da Browser-Exploits häufig über Phishing verteilt werden.
Technische Details
Betroffene Komponente: Die Schwachstelle liegt in der V8-JavaScript-Engine von Google Chrome, die für das Parsen und Ausführen von JavaScript zuständig ist. Betroffen sind alle Chrome-Versionen vor 120.0.6099.224.
Mechanismus: Ein Out-of-Bounds-Speicherzugriff in V8 kann ausgelöst werden, indem eine speziell gestaltete JavaScript-Sequenz auf einer manipulierten HTML-Seite ausgeführt wird. Dies führt zu Heap-Korrumpierung, die als primitives Mittel zur Code-Ausführung genutzt werden kann.
CVSS:3.1-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — Score 8.8 (HOCH)
Chromium-Bugnummer: Das zugehörige Chromium-Issue ist unter https://crbug.com/1517354 referenziert (Zugang eingeschränkt).
Patch: Google hat den Fix mit dem Stable Channel Update vom 16. Januar 2024 für Desktop-Systeme ausgerollt. Details sind im Release-Blog von Chrome verfügbar.
EPSS: EPSS-Score 0.00448, 63.19. Perzentile — verglichen mit anderen Chrome-V8-Schwachstellen moderat, jedoch ist die aktive Ausnutzung durch CISA KEV bestätigt.
Häufig gestellte Fragen
Wird CVE-2024-0519 aktiv ausgenutzt?
Ja. CVE-2024-0519 ist im CISA KEV-Katalog gelistet, was eine bestätigte aktive Ausnutzung in der Praxis belegt. Google hat den Fix als Reaktion auf Berichte über aktive Ausnutzung veröffentlicht. Alle Nutzer von Chrome-Versionen vor 120.0.6099.224 sollten umgehend aktualisieren.
Welche Produkte sind von CVE-2024-0519 betroffen?
Primär betroffen ist Google Chrome in allen Versionen vor 120.0.6099.224. Darüber hinaus sind Fedora Linux sowie Couchbase Server betroffen, da diese Chromium als Abhängigkeit verwenden. Chromium-basierte Browser wie Microsoft Edge können ebenfalls betroffen sein und sollten auf entsprechende Updates geprüft werden.
Wie behebe ich CVE-2024-0519?
Aktualisieren Sie Google Chrome auf Version 120.0.6099.224 oder neuer. Das Update ist über die integrierte Chrome-Updatefunktion (Menü → Hilfe → Über Google Chrome) verfügbar. Auf Fedora-Systemen sollten Sie das Chromium-Paket über aktualisieren. Couchbase-Nutzer sollten die offiziellen Sicherheitshinweise des Anbieters konsultieren.
Wie schwerwiegend ist CVE-2024-0519?
CVE-2024-0519 ist mit einem CVSS-Score von 8.8 als HOCH eingestuft. Die Schwachstelle kann ohne Authentifizierung über das Netzwerk ausgenutzt werden, erfordert lediglich, dass ein Benutzer eine präparierte Webseite besucht, und kann zu vollständiger Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems führen. Die bestätigte aktive Ausnutzung erhöht den Dringlichkeitsgrad erheblich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.