Vulnérabilités dans Google Chrome

Date de publication :

Ces vulnérabilités concernent le navigateur Chrome de Google.

Ci-dessous, cette première liste de vulnérabilités concerne un problème d'utilisation d’une donnée (ou des données) en mémoire après sa (leur) libération (user after free). Un attaquant peut exploiter ces vulnérabilités, en incitant un utilisateur à visiter un site web malveillant, pour exécuter du code arbitraire ou de mener une attaque par déni de service.
 

CVE-2022-0980[Score CVSS v3.1: 8.8]
Cette vulnérabilité concerne la fonction « nouvel onglet ».

CVE-2022-0979  [Score CVSS v3.1: 8.8]
Celle-ci concerne Safe Browsing, Il s'agit d'un composant qui prévient l'utilisateur lorsqu'il tente d'accéder à un site web possiblement malveillant.

CVE-2022-0978[Score CVSS v3.1:8.8]
Celle-ci concerne le moteur graphique Angle intégré dans le navigateur.

CVE-2022-0977[Score CVSS v3.1:8.8]
Cette vulnérabilité concerne l’interface utilisateur du navigateur.

CVE-2022-0974[Score CVSS v3.1:8.8]
Cette vulnérabilité concerne Splitscreen.  Il s’agit d’une extension qui permet de séparer en deux fenêtres le navigateur.

CVE-2022-0972[Score CVSS v3.1:8.8]
Cette vulnérabilité concerne la fonction extension du navigateur.
 

CVE-2022-0971[Score CVSS v3.1:8.8]
Cette vulnérabilité concerne le moteur de rendu Blink Layout du navigateur.

Ci-dessous, cette dernière vulnérabilité concerne un débordement de mémoire tampon. Le processus GPU (Graphic Processing Unit) est utilisé par le navigateur pour accélérer le rendu de pages web dotées d’éléments graphiques.

CVE-2022-0976[Score CVSS v3.1:8.8]
Une vérification incorrecte des limites de mémoire par le GPU peut permettre à un attaquant d’exécuter du code arbitraire et de mener une attaque par déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Déni de service

Criticité

  • Score CVSS v3.1: 8.8 max

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées.

Des correctifs existent

  • Oui, pour l’ensemble des CVE présentées.

Des mesures de contournement existent

  • Non, pour l’ensemble des CVE présentées.

Les vulnérabilités exploitées sont du type

Détails sur l’exploitation

Pour l’ensemble des CVE présentées.

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

  • Ces vulnérabilités affectent les versions Google Chrome 70.0.3538.67 à 99.0.4844.51.

Solutions ou recommandations

·      

Mettre à jour Google Chrome à la version 99.0.4844.74 et suivantes.  Des informations supplémentaires sont disponibles ici.

Liens