CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2024-5274

Type Confusion w V8 (Google Chrome) — RCE przez spreparowaną stronę HTML

CVSS 9.6v3.1pub. 2024-05-28upd. 2025-10-24

Podatność typu type confusion w silniku JavaScript V8 w Google Chrome pozwala zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz sandbox przeglądarki poprzez odwiedzenie spreparowanej strony HTML. Podatność jest aktywnie wykorzystywana w atakach i posiada ocenę CVSS 9.6 (CRITICAL).

▸ Pokaż oryginał (EN)

Type Confusion in V8 in Google Chrome prior to 125.0.6422.112 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)

🤖 Analiza AI

Jak działa

Błąd typu type confusion (CWE-843) w silniku V8 polega na tym, że silnik JavaScript niepoprawnie interpretuje typ obiektu w pamięci, traktując go jako inny typ niż rzeczywiście jest. Atakujący może spreparować stronę HTML zawierającą odpowiedni kod JavaScript, który wymusza tę błędną interpretację. W rezultacie możliwe jest wykonanie dowolnego kodu w kontekście procesu renderowania przeglądarki, nawet przy aktywnym mechanizmie sandbox.

Skutki

Atakujący może wykonać dowolny kod (RCE) wewnątrz sandbox przeglądarki, co może prowadzić do naruszenia poufności, integralności i dostępności danych przetwarzanych przez przeglądarkę. W połączeniu z osobną podatnością umożliwiającą ucieczkę z sandbox możliwe jest przejęcie kontroli nad systemem ofiary.

Mitygacja

Należy zaktualizować Google Chrome do wersji 125.0.6422.112 lub nowszej. Użytkownicy Fedory powinni zastosować aktualizacje pakietów opublikowane przez Fedora Project zgodnie z referencjami. Zaleca się również włączenie automatycznych aktualizacji przeglądarki.

Kogo dotyczy

Google Chrome w wersji wcześniejszej niż 125.0.6422.112 oraz pakiety Google Chrome dostępne w dystrybucjach Fedora Linux (zgodnie z listami pakietów Fedora Project).

Uwagi

Podatność jest objęta programem CISA KEV (Known Exploited Vulnerabilities), co potwierdza aktywne wykorzystywanie jej w środowisku produkcyjnym. Poprawka została opublikowana przez Google 23 maja 2024 r. w ramach aktualizacji stable channel.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Fedora Project Fedora
OS
Fedoraproject
3940
Google Chrome
APP
Google
< 125.0.6422.112

CISA KEV — szczegółyi

Dostawcai: Google ↗
Produkti: Chromium V8
Data dodania do KEVi: 28 maja 2024
Termin remediation (USA)i: 18 czerwca 2024(po terminie)

🔧Advisory Google↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub przerwij użytkowanie produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Google Chromium V8 zawiera lukę typu "type confusion", która pozwala zdalnym atakującym na wykonanie kodu za pośrednictwem spreparowanej strony HTML. Ta luka może dotyczyć wielu przeglądarek internetowych wykorzystujących Chromium, w tym między innymi Google Chrome, Microsoft Edge i Opera.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Google Chromium V8 contains a type confusion vulnerability that allows a remote attacker to execute code via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

🔴