Google hat am Montag Sicherheitsupdates veröffentlicht, um eine hochgefährliche Zero-Day-Schwachstelle in seinem Chrome-Webbrowser zu beheben, die nach eigenen Angaben in freier Wildbahn ausgenutzt wird.
Die Schwachstelle mit der Bezeichnung CVE-2022-2294 betrifft einen Heap-Überlauf in der WebRTC-Komponente, die Audio- und Videokommunikation in Echtzeit in Browsern ermöglicht, ohne dass Plugins installiert oder native Apps heruntergeladen werden müssen.
Heap-Pufferüberläufe, auch Heap Overrun oder Heap Smashing genannt, treten auf, wenn Daten im Heap-Bereich des Speichers überschrieben werden, was zur Ausführung von beliebigem Code oder einem Denial-of-Service (DoS)-Zustand führt.
„Heap-basierte Überläufe können genutzt werden, um Funktionszeiger zu überschreiben, die sich im Speicher befinden und auf den Code des Angreifers zeigen“, erklärt MITRE. „Wenn die Folge die Ausführung von beliebigem Code ist, kann dies oft dazu genutzt werden, andere Sicherheitsdienste zu unterwandern.
Die Schwachstelle wurde am 1. Juli 2022 von Jan Vojtesek vom Avast Threat Intelligence Team entdeckt und gemeldet. Es ist erwähnenswert, dass der Fehler auch die Android-Version von Chrome betrifft.
Wie bei Zero-Day-Exploits üblich, wurden Details über die Schwachstelle und andere Einzelheiten im Zusammenhang mit der Kampagne zurückgehalten, um weiteren Missbrauch in freier Wildbahn zu verhindern, bis eine große Zahl von Nutzern ein Update erhalten hat.
CVE-2022-2294 ist bereits die vierte Zero-Day-Schwachstelle in Chrome seit Anfang des Jahres.
CVE-2022-0609 – Use-after-free in Animation
– Use-after-free in Animation CVE-2022-1096 – Typenverwechslung in V8
– Typenverwechslung in V8 CVE-2022-1364 – Typenverwechslung in V8
Nutzern wird empfohlen, auf Version 103.0.5060.114 für Windows, macOS und Linux und 103.0.5060.71 für Android zu aktualisieren, um mögliche Bedrohungen zu entschärfen. Nutzern von Chromium-basierten Browsern wie Microsoft Edge, Brave, Opera und Vivaldi wird ebenfalls empfohlen, die Korrekturen anzuwenden, sobald sie verfügbar sind.