[TLP:CLEAR] Google Chrome opravuje 37 zraniteľností
Google opravuje 37 zraniteľností (z toho 19 zverejnených) v produkte Google Chrome a taktiež vo webových prehliadačoch založených na Chromium. Google zraniteľnosti opravil pre Chrome na Linux vo verzii 128.0.6613.84 a pre Chrome na Windows/Mac vo verzii 128.0.6613.84/.85 [1]. Zraniteľnosť CVE-2024-7971 opravil Microsoft pre produkt Edge vo verzii 128.0.2739.42 [2]. Nižšie sú uvedené najzávažnejšie zraniteľnosti.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať do pamäte u obete zobrazujúcej špeciálne vytvorené web stránky, čím môže dôjsť k poškodeniu dát, neoprávnenému čítaniu informácií a potenciálne k spúšťaniu kódu [3][4]. Google tvrdí, že existuje verejne dostupný skript umožňujúci zneužitie zraniteľnosti CVE-2024-7971 [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-7971 na cve.org, NVD
- CVE-2024-7969 na cve.org, NVD
- CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 9. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené u obete zobrazujúcej špeciálne vytvorené web stránky vykonať DoS útok, poškodiť dáta v pamäti alebo potenciálne vykonávať kód [5][6].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-7964 na cve.org, NVD
- CVE-2024-7968 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 8. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zapisovať do pamäte u obete zobrazujúcej špeciálne vytvorené web stránky, čím môže dôjsť k DoS útoku alebo poškodeniu dát v pamäti [7]. Google tvrdí, že existuje verejne dostupný skript umožňujúci zneužitie tejto zraniteľnosti [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-7965 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 9. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zapisovať do pamäte u obete zobrazujúcej špeciálne vytvorené PDF súbory, čím môže dôjsť k DoS útoku alebo poškodeniu dát v pamäti [8].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-7973 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 8. 2024.
Autentizovanému vzdialenému útočníkovi je v inštalátore Google Chrome na systéme Windows umožnené zvýšiť svoje práva použitím špeciálne vytvoreného súboru alebo symbolického odkazu [9][10][11].
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-7977 na cve.org, NVD
- CVE-2024-7979 na cve.org, NVD
- CVE-2024-7980 na cve.org, NVD
- CWE-345: Insufficient Verification of Data Authenticity na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 8. 2024.
Odkazy
- [1] https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html
- [2] https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#august-22-2024
- [3] https://nvd.nist.gov/vuln/detail/CVE-2024-7971
- [4] https://nvd.nist.gov/vuln/detail/CVE-2024-7969
- [5] https://nvd.nist.gov/vuln/detail/CVE-2024-7964
- [6] https://nvd.nist.gov/vuln/detail/CVE-2024-7968
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-7965
- [8] https://nvd.nist.gov/vuln/detail/CVE-2024-7973
- [9] https://nvd.nist.gov/vuln/detail/CVE-2024-7977
- [10] https://nvd.nist.gov/vuln/detail/CVE-2024-7979
- [11] https://nvd.nist.gov/vuln/detail/CVE-2024-7980
Za CESNET, z.s.p.o. Martin Krajči dňa 3. 9. 2024.