Google Chrome bis 54 v8 Engine Out-of-Bounds Pufferüberlauf

In Google Chrome bis 54 wurde eine kritische Schwachstelle gefunden. Es geht um eine unbekannte Funktion der Komponente v8 Engine. Dank der Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle (Out-of-Bounds) ausgenutzt werden. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 01.11.2016 von Tencent Keen Security Lab in Form eines bestätigten Advisories (Website) via ZDI (Zero Day Initiative) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $10k-$25k kostet.

Ein Upgrade auf die Version 54.0.2840.87 vermag dieses Problem zu beheben. Eine neue Version kann von ) dokumentiert.

CVSSv3

Base Score: 7.3
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C)

Exploiting

Klasse: Pufferüberlauf
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade:
04.11.2016
06.11.2016
Firma: Tencent Keen Security Lab
Status: Bestätigt

CVE: CVE-2016-5198

Eintrag

Erstellt: 06.11.2016
Eintrag: 78.3% komplett