Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Google Chrome opravuje 37 zranitelností
Google opravuje 37 zranitelností (z toho 19 zveřejněných) v produktu Google Chrome a také ve webových prohlížečích založených na Chromium. Google zranitelnosti opravil pro Chrome na Linuxu ve verzi 128.0.6613.84 a pro Chrome na Windows/Mac ve verzi 128.0.6613.84/.85 [1]. Zranitelnost CVE-2024-7971 opravil Microsoft pro produkt Edge ve verzi 128.0.2739.42 [2]. Níže jsou uvedeny nejzávažnější zranitelnosti.
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat do paměti u oběti zobrazující speciálně vytvořené webové stránky, čímž může dojít k poškození dat, neoprávněnému čtení informací a potenciálně ke spuštění kódu [3][4]. Google tvrdí, že existuje veřejně dostupný skript umožňující zneužití zranitelnosti CVE-2024-7971 [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7971 na cve.org, NVD
- CVE-2024-7969 na cve.org, NVD
- CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 9. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno u oběti zobrazující speciálně vytvořené webové stránky provést DoS útok, poškodit data v paměti nebo potenciálně spustit kód [5][6].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7964 na cve.org, NVD
- CVE-2024-7968 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 8. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně zapisovat do paměti u oběti zobrazující speciálně vytvořené webové stránky, čímž může dojít k DoS útoku nebo poškození dat v paměti [7]. Google tvrdí, že existuje veřejně dostupný skript umožňující zneužití této zranitelnosti [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7965 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 9. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně zapisovat do paměti u oběti zobrazující speciálně vytvořené PDF soubory, čímž může dojít k DoS útoku nebo poškození dat v paměti [8].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7973 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 8. 2024.
Autentizovanému vzdálenému útočníkovi je v instalátoru Google Chrome v systému Windows umožněno zvýšit svá oprávnění použitím speciálně vytvořeného souboru nebo symbolického odkazu [9][10][11].
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7977 na cve.org, NVD
- CVE-2024-7979 na cve.org, NVD
- CVE-2024-7980 na cve.org, NVD
- CWE-345: Insufficient Verification of Data Authenticity na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 8. 2024.
Odkazy
- [1] https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html
- [2] https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#august-22-2024
- [3] https://nvd.nist.gov/vuln/detail/CVE-2024-7971
- [4] https://nvd.nist.gov/vuln/detail/CVE-2024-7969
- [5] https://nvd.nist.gov/vuln/detail/CVE-2024-7964
- [6] https://nvd.nist.gov/vuln/detail/CVE-2024-7968
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-7965
- [8] https://nvd.nist.gov/vuln/detail/CVE-2024-7973
- [9] https://nvd.nist.gov/vuln/detail/CVE-2024-7977
- [10] https://nvd.nist.gov/vuln/detail/CVE-2024-7979
- [11] https://nvd.nist.gov/vuln/detail/CVE-2024-7980
Za CESNET, z.s.p.o. Martin Krajči dne 3. 9. 2024.