[Generic/Chrome] Schwachstelle in Google Chrome
(2009-10-02 12:40:59.231355+00) Druckversion
Quelle: http://googlechromereleases.blogspot.com/2009/09/stable-channel-update_30.html
Eine Pufferüberlaufschwachstelle in den Routinen zur Umrechnung von Strings in Gleitkommazahlen von Googles Chrome-Browser kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien der Chrome Sandbox auf dem beherbergenden System auszuführen. Die neue Version 3.0.195.24 des Browsers behebt das Problem.
Inhalt
- Zusammenfassung
- Betroffene Systeme
- Nicht betroffene Systeme
- Plattform
- Einfallstor
- Angriffsvoraussetzung
- Angriffsvektorklasse
- Auswirkung
- Typ der Verwundbarkeit
- Gefahrenpotential
- Beschreibung
- Workaround
- Gegenmaßnahmen
- Vulnerability ID
Zusammenfassung
- CVE-2009-0689:
Betroffen: Google Chrome 3.0.195.21 und früher Nicht betroffen: Google Chrome 3.0.195.24 Plattform: generic Einfallstor: Zeichenkette (i.A. über das Web) Angriffsvoraussetzung: Benutzerinteraktion Angriffsvektorklasse: remote Auswirkung: user compromise Typ: Speicherverletzung Gefahrenpotential: hoch Workaround: nein Gegenmaßnahmen: neue Version Vulnerability ID: CVE-2009-0689
Betroffene Systeme
- Google Chrome 3.0.195.21 und frühere Versionen
Nicht betroffene Systeme
- Google Chrome 3.0.195.24
Plattform
- Keine Einschränkung
(generic)
Einfallstor
- Zeichenketten (Strings) in verarbeiteten Inhalten, wie z.B. Webseiten.
Angriffsvoraussetzung
-
Benutzerinteraktion - Ein Angreifer muss einen Benutzer eines
betroffenen Systems dazu veranlassen, entsprechende Inhalte
im Browser zu öffnen.
Diese könne ihm
z.B. über eine Webseite oder eine E-Mail-Nachricht zugeleitet werden.
(user interaction)
Angriffsvektorklasse
-
über eine Netzwerkverbindung
(remote)
Auswirkung
-
Ausführung beliebigen Programmcodes auf dem beherbergenden System in
der Chrome
Sandbox
(user compromise)
Typ der Verwundbarkeit
-
Speicherverletzung
(memory corruption)
Gefahrenpotential
- hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)
Beschreibung
Eine Pufferüberlaufschwachstelle in der Funktion
dtoa()
die im Lieferumfang des Webbrowsers
Google Chrome enthalten ist
und zur Umrechnung von Zeichenketten in Gleitkommazahlen
verwendet wird,
kann von einem Angreifer dazu
ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden
System
ausführen.
Der Code wird dabei mit den Privilegien de
Chrome Sandbox
ausgeführt.
Zur erfolgreichen Ausnutzung der Schwachstelle ist es ausreichend, wenn der Angreifer einen Benutzer eines betroffenen Systems dazu veranlasst, entsprechend präparierte Inhalte, etwa eine Webseite oder eine Datei, mit dem Browser zu öffnen
Google stellt die neue Version 3.0.195.24 bereit, die das Problem beseitigt.
Workaround
- Es ist kein Workaround zur Umgehung des Problems bekannt.
Gegenmaßnahmen
- Installation von Google Chrome 3.0.195.24
Vulnerability ID
(og)Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die Universität
Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel
darf ausschließlich in unveränderter Form und nur zusammen mit diesem
Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine
Veröffentlichung unter diesen Bedingungen an anderer Stelle ist
ausdrücklich gestattet.
Copyright © 2018 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/
Vorherige Meldung | Weitere Meldungen... | Nächste Meldung |
Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.