Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-1597

[Generic/Chrome] Schwachstelle in Google Chrome
(2009-10-02 12:40:59.231355+00) Druckversion

Quelle: http://googlechromereleases.blogspot.com/2009/09/stable-channel-update_30.html

Eine Pufferüberlaufschwachstelle in den Routinen zur Umrechnung von Strings in Gleitkommazahlen von Googles Chrome-Browser kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien der Chrome Sandbox auf dem beherbergenden System auszuführen. Die neue Version 3.0.195.24 des Browsers behebt das Problem.

Inhalt

Zusammenfassung

  • CVE-2009-0689:
    Betroffen: Google Chrome 3.0.195.21 und früher
    Nicht betroffen: Google Chrome 3.0.195.24
    Plattform: generic
    Einfallstor: Zeichenkette (i.A. über das Web)
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: nein
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-0689

Betroffene Systeme

  • Google Chrome 3.0.195.21 und frühere Versionen

Nicht betroffene Systeme

  • Google Chrome 3.0.195.24

Plattform

  • Keine Einschränkung
    (generic)

Einfallstor

  • Zeichenketten (Strings) in verarbeiteten Inhalten, wie z.B. Webseiten.

Angriffsvoraussetzung

  • Benutzerinteraktion - Ein Angreifer muss einen Benutzer eines betroffenen Systems dazu veranlassen, entsprechende Inhalte im Browser zu öffnen. Diese könne ihm z.B. über eine Webseite oder eine E-Mail-Nachricht zugeleitet werden.
    (user interaction)

Angriffsvektorklasse

  • über eine Netzwerkverbindung
    (remote)

Auswirkung

  • Ausführung beliebigen Programmcodes auf dem beherbergenden System in der Chrome Sandbox
    (user compromise)

Typ der Verwundbarkeit

  • Speicherverletzung
    (memory corruption)

Gefahrenpotential

  • hoch

(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung

Eine Pufferüberlaufschwachstelle in der Funktion dtoa() die im Lieferumfang des Webbrowsers Google Chrome enthalten ist und zur Umrechnung von Zeichenketten in Gleitkommazahlen verwendet wird, kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden System ausführen. Der Code wird dabei mit den Privilegien de Chrome Sandbox ausgeführt.

Zur erfolgreichen Ausnutzung der Schwachstelle ist es ausreichend, wenn der Angreifer einen Benutzer eines betroffenen Systems dazu veranlasst, entsprechend präparierte Inhalte, etwa eine Webseite oder eine Datei, mit dem Browser zu öffnen

Google stellt die neue Version 3.0.195.24 bereit, die das Problem beseitigt.

Workaround

  • Es ist kein Workaround zur Umgehung des Problems bekannt.

Gegenmaßnahmen

Vulnerability ID

(og)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2018 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.