Vulnérabilités dans Google Chrome

Date de publication :

Cette liste de vulnérabilités concerne trois types de failles :

  • La première faille porte sur une erreur d'utilisation de données en mémoire après libération (user after free) dans Google Chrome. Du fait de cette vulnérabilité, un attaquant peut, en incitant un utilisateur à visiter un site web spécialement forgé, exécuter du code arbitraire et provoquer un déni de service.

CVE-2022-1634[Score CVSS v3.1 : 8.8]
Cette vulnérabilité concerne l'interface utilisateur du navigateur.

CVE-2022-1635[Score CVSS v3.1 : 8.8]
Cette vulnérabilité concerne les invites d'autorisation.

CVE-2022-1636[Score CVSS v3.1 : 8.8]
Cette vulnérabilité concerne les API de performance.

CVE-2022-1639[Score CVSS v3.1 : 8.8]
Cette vulnérabilité concerne le moteur graphique ANGLE.

CVE-2022-1640[Score CVSS v3.1 : 8.8]
Cette vulnérabilité concerne la fonction de partage.

  • La deuxième faille concerne un dépassement des limites de la mémoire tampon.

CVE-2022-1638[Score CVSS v3.1 : 8.8]
La vulnérabilité est relative à une vérification incorrecte des limites dans le moteur V8. En incitant un utilisateur à visiter un site web spécialement forgé, un attaquant distant peut entraîner un débordement de mémoire tampon afin d’exécuter du code arbitraire sur le système ou de provoquer un déni de service.

  • La troisième faille concerne une implémentation inappropriée de données.

CVE-2022-1637[Score CVSS v3.1 : 8.8]
La vulnérabilité est relative à une validation insuffisante des entrées fournies par l'utilisateur dans la fonction Web Contents. En incitant un utilisateur à visiter un site web spécialement forgé, un attaquant distant peut exécuter du code arbitraire sur le système ou provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3.1: 8.8 max

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées

Un correctif existe

  • Oui, pour l’ensemble des CVE présentées

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées

Les vulnérabilités exploitées sont du type

Pour les CVE-2022-1634, CVE-2022-1635, CVE-2022-1636, CVE-2022-1639 et CVE-2022-1640

CWE-122: Heap-based Buffer Overflow

CWE-20: Improper Input Validation

Détails sur l’exploitation

Pour l’ensemble des CVE présentées :

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

  • Ces vulnérabilités affectent Google Chrome aux versions 70.0.3538.67 à 101.0.4951.54.

Solutions ou recommandations

Mettre à jour Google Chrome aux versions 101.0.4951.61 et suivantes. Des informations supplémentaires sont disponibles ici.

Liens