CVE-2024-4761
Google Chromium V8 Out-of-Bounds Memory Write Vulnerability
Beschreibung
CVE-2024-4761 ist eine Out-of-Bounds-Write-Schwachstelle in der V8-JavaScript-Engine von Google Chrome. Ein entfernter Angreifer kann durch eine speziell praeparierte HTML-Seite einen Speicherschreibzugriff ausserhalb der zugewiesenen Grenzen ausfuehren. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 5,59 % (90,1. Perzentil) stellt diese Schwachstelle ein erhebliches Sicherheitsrisiko dar. Die CISA hat CVE-2024-4761 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 6. Juni 2024. Betroffen sind alle Google Chrome Versionen vor 124.0.6367.207 sowie Fedora 38, 39 und 40.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| chrome | < 124.0.6367.207 | |
| fedoraproject | fedora | 38; 39; 40 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html(Vendor Advisory)
- https://issues.chromium.org/issues/339458194(Permissions Required)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/6G7EYH2JAK5OJPVNC6AXYQ5K7YGYNCDN/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/NTSN22LNYXMWHVTYNOYQVOY7VDZFHENQ/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/WSUWM73ZCXTN62AT2REYQDD5ZKPFMDZD/(Mailing List)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-4761(US Government Resource)
Schwachstellentyp
Fuer CVE-2024-4761 ist kein spezifischer CWE-Typ im NVD eingetragen. Basierend auf der Schwachstellenbeschreibung handelt es sich um eine Out-of-Bounds-Write-Schwachstelle.
CWE-787: Out-of-bounds Write
CWE-787 (Out-of-bounds Write) beschreibt eine Schwachstellenklasse, bei der ein Programm Daten ausserhalb der Grenzen eines zugewiesenen Speicherbereichs schreibt. Im Fall von CVE-2024-4761 ermoeglicht ein Fehler in der V8-JavaScript-Engine das Schreiben von Daten ueber die Grenzen eines Speicherpuffers hinaus. Ein Angreifer kann dies ueber eine praeparierte HTML-Seite ausloesen und so beliebige Speicherbereiche ueberschreiben, was zur Ausfuehrung von Code oder zum Absturz des Browsers fuehren kann. Mehr erfahren
Auswirkungsanalyse
Code-Ausfuehrung durch Speicherkorruption: Die Auswirkungen dieser Schwachstelle sind erheblich. Vertraulichkeit (C:H) ermoeglicht dem Angreifer nach erfolgreicher Ausnutzung den Zugriff auf alle Daten im Browser-Prozess, einschliesslich Cookies, gespeicherter Anmeldedaten und Sitzungsinformationen. Integritaet (I:H) erlaubt das Manipulieren von Browser-Inhalten und die Ausfuehrung beliebiger Aktionen im Browser-Kontext des Opfers. Verfuegbarkeit (A:H) kann zum Absturz des Browsers oder zur Blockade von Systemressourcen fuehren.
Einfache Ausnutzung durch Webseitenbesuch: Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N). Die einzige Voraussetzung ist die Benutzerinteraktion (UI:R) - das Opfer muss eine praeparierte Webseite besuchen. Im Unterschied zu den Type-Confusion-Schwachstellen CVE-2024-4947 und CVE-2024-5274 hat CVE-2024-4761 einen unveraenderten Scope (S:U), was den CVSS-Score etwas niedriger ansetzt.
EPSS und Ransomware: Der EPSS-Score von 5,59 % (90,1. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert. In Kombination mit anderen Schwachstellen koennte die Out-of-Bounds-Write-Schwachstelle fuer die Verbreitung von Malware, einschliesslich Ransomware, ueber Drive-by-Downloads genutzt werden.
Exploit-Reifegrad
CVE-2024-4761 weist eine bestaetigt aktive Ausnutzung als Zero-Day auf. Google hat im Chrome Release Blog bestaetigt, dass die Schwachstelle aktiv in freier Wildbahn ausgenutzt wird.
EPSS-Kontext: Mit einem EPSS-Score von 5,59 % (90,1. Perzentil) liegt die Schwachstelle im oberen Zehntel der Ausnutzungswahrscheinlichkeit. Die bestaetigte Zero-Day-Ausnutzung und die Aufnahme in den CISA KEV-Katalog unterstreichen die reale Bedrohung.
Oeffentliche Exploit-Informationen: Der zugehoerige Chromium Issue (339458194) ist als zugangsbeschraenkt markiert, was darauf hindeutet, dass die technischen Details zum Schutz der Benutzer zurueckgehalten werden. CVE-2024-4761 war Teil einer Serie von Chrome-Zero-Days im Mai 2024, zusammen mit CVE-2024-4947 und CVE-2024-5274.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Die Schwachstelle wurde wahrscheinlich fuer gezielte Angriffe genutzt, wobei der genaue Bedrohungsakteur und das Angriffsziel nicht oeffentlich bekannt sind.
Behebung
- Google Chrome sofort aktualisieren: Aktualisieren Sie Google Chrome auf Version 124.0.6367.207 oder hoeher. Die Aktualisierung erfolgt ueber Chrome-Menue > Hilfe > Ueber Google Chrome. In Unternehmensumgebungen nutzen Sie die zentrale Softwareverteilung.
- Chromium-basierte Browser aktualisieren: Stellen Sie sicher, dass auch alle anderen Chromium-basierten Browser (Microsoft Edge, Brave, Opera, Vivaldi) auf Versionen aktualisiert werden, die den Fix fuer CVE-2024-4761 enthalten.
- Fedora-Systeme aktualisieren: Fuer Fedora 38, 39 und 40: Aktualisieren Sie das Chromium-Paket ueber
sudo dnf update chromium. Die gepatchten Pakete sind ueber die Fedora-Repositories verfuegbar. - Browser-Update-Richtlinien erzwingen: Konfigurieren Sie in Unternehmensumgebungen Chrome Enterprise Policies fuer automatische Updates. Setzen Sie eine Mindestversion durch, um sicherzustellen, dass keine verwundbaren Browser-Versionen im Einsatz sind.
- Schutzschichten aktivieren: Stellen Sie sicher, dass zusaetzliche Schutzmechanismen aktiv sind: Site Isolation, V8-Sandbox und Content Security Policies. Erwaegen Sie den Einsatz eines Web-Content-Filters, der bekannte boeswillige Websites blockiert, um das Risiko von Drive-by-Downloads zu reduzieren.
Technische Details
Die Schwachstelle befindet sich in der V8-JavaScript-Engine von Google Chrome. Ein Out-of-Bounds-Write ermoeglicht das Schreiben von Daten ueber die Grenzen eines zugewiesenen Speicherpuffers hinaus, was zu Speicherkorruption und potenzieller Code-Ausfuehrung fuehrt.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N), aber Benutzerinteraktion (UI:R). Der Scope ist unveraendert (S:U), alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Der Angreifer erstellt eine speziell praeparierte HTML-Seite mit JavaScript-Code, der einen Fehler in der V8-Engine ausloest. Durch den Out-of-Bounds-Write kann der Angreifer Daten ueber die Grenzen eines Heap-Puffers hinaus schreiben und so benachbarte Speicherobjekte ueberschreiben. Dies ermoeglicht die Kontrolle ueber Funktionszeiger, Objektreferenzen oder Metadaten des Speicher-Allocators. Durch geschickte Manipulation dieser ueberschriebenen Daten kann der Angreifer den Kontrollfluss des Renderer-Prozesses uebernehmen und beliebigen Code innerhalb der Chrome-Sandbox ausfuehren. Die Chrome-Sandbox beschraenkt den Zugriff auf das Betriebssystem, aber innerhalb des Renderer-Prozesses hat der Angreifer volle Kontrolle.
Betroffene Versionen: Google Chrome vor Version 124.0.6367.207 sowie Fedora 38, 39 und 40 mit verwundbarem Chromium-Paket. Die Schwachstelle betrifft alle Chromium-basierten Browser, die die verwundbare V8-Version verwenden.
Häufig gestellte Fragen
Ist CVE-2024-4761 gefaehrlicher als eine Type-Confusion-Schwachstelle?
Out-of-Bounds-Write und Type-Confusion sind unterschiedliche Schwachstellenklassen, die beide zur Code-Ausfuehrung fuehren koennen. CVE-2024-4761 hat mit CVSS 8.8 einen etwas niedrigeren Score als die Type-Confusion-Schwachstellen CVE-2024-4947 und CVE-2024-5274 (CVSS 9.6), da der Scope unveraendert bleibt (S:U). Die tatsaechliche Gefaehrlichkeit haengt jedoch vom konkreten Exploit und der Zuverlaessigkeit der Ausnutzung ab.
Warum gab es im Mai 2024 so viele Chrome-Zero-Days?
Im Mai 2024 wurden mehrere V8-Schwachstellen als Zero-Day ausgenutzt (CVE-2024-4761, CVE-2024-4947, CVE-2024-5274). Dies kann auf eine konzertierte Angriffskampagne eines einzelnen Akteurs oder auf mehrere unabhaengige Angreifer hindeuten, die V8-Schwachstellen gezielt erforschen. Google hat auf diese Haefung mit beschleunigten Patch-Zyklen reagiert.
Kann ich mich schuetzen, ohne den Browser zu aktualisieren?
Ohne das Update gibt es keinen vollstaendigen Schutz. Teilweise Mitigationen umfassen die Deaktivierung von JavaScript (was die meisten Websites unbenutzbar macht) oder die Verwendung eines Browsers mit einer anderen JavaScript-Engine (Firefox, Safari). Die empfohlene Loesung ist jedoch eindeutig die sofortige Aktualisierung von Chrome.
Sind Mobile-Browser ebenfalls betroffen?
Ja, Chrome fuer Android und andere mobile Chromium-basierte Browser, die die verwundbare V8-Version verwenden, sind ebenfalls betroffen. Aktualisieren Sie Chrome auf allen Geraeten, einschliesslich Smartphones und Tablets, auf die neueste verfuegbare Version.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.