【风险提示】天融信关于Google Chrome代码执行漏洞风险提示

0x00背景介绍

8月18日,天融信阿尔法实验室监测到Google Chrome官方发布安全通告，修复了Chrome中的多个安全漏洞，其中Google Chrome代码执行漏洞（CVE-2022-2856）被报告存在在野利用。

0x01漏洞简述

Google Chrome本次安全更新共修复多个漏洞：

CVE-2022-2852：FedCM 中的Use-After-Free（严重）

CVE-2022-2854：SwiftShader中的Use-After-Free（高危）

CVE-2022-2855：ANGLE中的Use-After-Free（高危）

CVE-2022-2857：Blink中的Use-After-Free（高危）

CVE-2022-2858：Sign-In Flow中的Use-After-Free（高危）

CVE-2022-2853：Downloads中的堆缓冲区溢出（高危）

CVE-2022-2856：Intents 中不受信任的输入验证不足（高危）

CVE-2022-2859：Chrome OS Shell中的Use-After-Free（中危）

CVE-2022-2860：Cookie 中的策略执行不足（中危）

CVE-2022-2861：扩展 API 中的实施不当（中危）

0x02重点漏洞描述

CVE-2022-2856：Intents 中不受信任的输入验证不足

由于Intents对不可信输入数据的验证不足，攻击者通过诱导用户打开特制页面来利用此漏洞，成功利用此漏洞可能导致任意代码执行。

0x03受影响版本

Google Chrome Desktop for Mac/Linux < 104.0.5112.101
Google Chrome Desktop for Windows < 104.0.5112.102/101
Google Chrome Extended for Mac < 104.0.5112.101
Google Chrome Extended for Windows < 104.0.5112.102

0x04安全版本

Google Chrome Desktop for Mac/Linux >= 104.0.5112.101
Google Chrome Desktop for Windows >= 104.0.5112.102
Google Chrome Extended for Mac >= 104.0.5112.101
Google Chrome Extended for Windows >= 104.0.5112.102

0x05参考资料

https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html

天融信

阿尔法实验室

长按二维码关注我们

原文始发于微信公众号（天融信阿尔法实验室）：【风险提示】天融信关于Google Chrome代码执行漏洞风险提示