CVE-2023-7012

Google Chrome — niewystarczająca walidacja danych w Permission Prompts umożliwia sandbox escape

CVSS 9.6v3.1pub. 2024-07-16upd. 2024-12-26

Podatność w module Permission Prompts przeglądarki Google Chrome (wersje przed 117.0.5938.62) pozwala atakującemu na potencjalne wyrwanie się z piaskownicy (sandbox escape). Do wykorzystania luki wymagane jest nakłonienie użytkownika do zainstalowania złośliwej aplikacji.

▸ Pokaż oryginał (EN)

Insufficient data validation in Permission Prompts in Google Chrome prior to 117.0.5938.62 allowed an attacker who convinced a user to install a malicious app to potentially perform a sandbox escape via a malicious file. (Chromium security severity: Medium)

🤖 Analiza AI

Jak działa

Niedostateczna walidacja danych w mechanizmie wyświetlania próśb o uprawnienia (Permission Prompts) umożliwia atakującemu dostarczenie specjalnie spreparowanego pliku za pośrednictwem złośliwej aplikacji. Nieprawidłowe przetwarzanie danych wejściowych (CWE-20, CWE-138) prowadzi do obejścia mechanizmu izolacji procesu przeglądarki (sandbox). Atak wymaga interakcji użytkownika — zainstalowania złośliwej aplikacji.

Skutki

Skuteczny atak może pozwolić atakującemu na wyrwanie się z piaskownicy przeglądarki (sandbox escape), co potencjalnie umożliwia uzyskanie dostępu do systemu operacyjnego poza środowiskiem izolowanym Chrome, narażając poufność, integralność i dostępność systemu.

Mitygacja

Należy zaktualizować Google Chrome do wersji 117.0.5938.62 lub nowszej. Aktualizacja jest dostępna za pośrednictwem mechanizmu automatycznych aktualizacji przeglądarki oraz w oficjalnym kanale stabilnym Chrome (Stable Channel).

Kogo dotyczy

Google Chrome w wersjach wcześniejszych niż 117.0.5938.62

Uwagi

Pomimo oceny CVSS 9.6 (CRITICAL), producent (Google/Chromium) sklasyfikował podatność jako poziom średni (Medium) w swojej wewnętrznej skali bezpieczeństwa. CVE zostało opublikowane 2024-07-16, natomiast poprawka ukazała się wraz z wydaniem Chrome 117.0.5938.62 w dniu 12 września 2023 r., co sugeruje znaczne opóźnienie w publikacji identyfikatora CVE.