CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2024-4671

Use-after-free w Google Chrome Visuals umożliwiający ucieczkę z sandbox

CVSS 9.6v3.1pub. 2024-05-14upd. 2025-10-24

Podatność typu use-after-free w komponencie Visuals przeglądarki Google Chrome pozwala zdalnemu atakującemu, który przejął kontrolę nad procesem renderera, na potencjalną ucieczkę z sandbox. Jest aktywnie wykorzystywana w atakach, co klasyfikuje ją jako zagrożenie wymagające natychmiastowej reakcji.

▸ Pokaż oryginał (EN)

Use after free in Visuals in Google Chrome prior to 124.0.6367.201 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

🤖 Analiza AI

Jak działa

Błąd use-after-free polega na odwołaniu się do obszaru pamięci po jego zwolnieniu, co prowadzi do niekontrolowanego zachowania programu. W tym przypadku podatność występuje w podsystemie Visuals odpowiedzialnym za renderowanie grafiki w Chrome. Atakujący, który wcześniej skompromitował proces renderera, może dostarczyć specjalnie spreparowaną stronę HTML, która wyzwala ten błąd i umożliwia wykonanie kodu poza izolowanym środowiskiem sandbox przeglądarki.

Skutki

Atakujący może uciec z sandbox przeglądarki i potencjalnie uzyskać możliwość wykonania kodu w kontekście systemu operacyjnego, co może prowadzić do pełnego przejęcia kontroli nad systemem ofiary, wycieku danych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy niezwłocznie zaktualizować Google Chrome do wersji 124.0.6367.201 lub nowszej. Użytkownicy dystrybucji Fedora powinni zastosować aktualizacje pakietów zgodnie z ogłoszeniami dostępnymi w listach Fedora package-announce. Zaleca się włączenie automatycznych aktualizacji przeglądarki.

Kogo dotyczy

Google Chrome w wersjach wcześniejszych niż 124.0.6367.201 oraz powiązane pakiety Fedora Linux (Fedoraproject Fedora)

Uwagi

Podatność jest umieszczona na liście CISA KEV jako aktywnie wykorzystywana. Producent ocenił wagę jako High w skali Chromium Security Severity, natomiast CVSS 3.1 wskazuje ocenę 9.6 (CRITICAL). Podatność wymaga uprzedniego skompromitowania procesu renderera (warunek wstępny ataku).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Fedora Project Fedora
OS
Fedoraproject
383940
Google Chrome
APP
Google
< 124.0.6367.201

CISA KEV — szczegółyi

Dostawcai: Google ↗
Produkti: Chromium
Data dodania do KEVi: 13 maja 2024
Termin remediation (USA)i: 3 czerwca 2024(po terminie)

🔧Advisory Google↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Google Chromium Visuals zawiera lukę typu use-after-free, która pozwala zdalnemu atakującemu na wykorzystanie korupcji stogu poprzez spreparowaną stronę HTML. Ta luka może dotyczyć wielu przeglądarek internetowych wykorzystujących Chromium, w tym między innymi Google Chrome, Microsoft Edge i Opera.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Google Chromium Visuals contains a use-after-free vulnerability that allows a remote attacker to exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

🔴