Google, Chrome’da vahşi ortamda istismar edilen başka bir kritik sıfır gün güvenlik açığını (CVE-2023-5217) düzeltti.
CVE-2023-5217 Hakkında
Güvenlik açığı, Google ve Alliance for Open Media (AOMedia) tarafından sağlanan bir video codec kitaplığı olan libvpx’teki vp8 kodlamasındaki yığın arabellek taşmasından kaynaklanıyor.
Yığın arabellek taşmaları program çökmelerine veya rastgele kod yürütülmesine neden olabilir.
CVE-2023-5217, Windows, Mac ve Linux kullanıcıları için Google Chrome 117.0.5938.132’de düzeltildi.
Google, CVE-2023-5217’ye yönelik istismarın yaygın olarak mevcut olduğunu ve bu nedenle kullanıcıların mümkün olan en kısa sürede güncelleme yapmaları gerektiğini belirtti.
“Kullanıcıların çoğunluğu bir düzeltmeyle güncellenene kadar hata ayrıntılarına ve bağlantılara erişim kısıtlı tutulabilir. Google, hatanın diğer projelerin de benzer şekilde bağlı olduğu ancak henüz düzeltmediği bir üçüncü taraf kütüphanesinde mevcut olması durumunda da kısıtlamaları koruyacağız” dedi.
Güvenlik açığı, Google’ın Tehdit Analizi Grubu’ndan Clément Lecigne tarafından 25 Eylül’de bildirildi. kayıt edilmiş Meslektaşı Maddie Stone tarafından açıklanan kusur, ticari bir gözetleme satıcısı tarafından kullanılıyor.
Bu son güncellemede Google, araştırmacılar tarafından bildirilen diğer iki yüksek önemdeki kusuru da çözmüştür:
- CVE-2023-5186 – Parolalarda ücretsiz kullanımdan sonra kullanım (UAF) güvenlik açığı
- CVE-2023-5187 – Uzantılarda ücretsiz kullanım (UAF) güvenlik açığı
Yakın zamanda istismar edilen sıfır gün sayısı
Bu ayın başlarında Apple, NSO Group’un Pegasus casus yazılımını yüksek riskli hedeflere ulaştırmak için zincirlenen ve istismar edilen iki sıfır gün güvenlik açığını (CVE-2023-41064, CVE-2023-41061) yamaladı.
ImageI/O çerçevesindeki bir arabellek taşması güvenlik açığı olan CVE-2023-41064’ün, WebP’deki bir Chrome sıfır gün yığın arabellek taşması güvenlik açığı olan CVE-2023-4863 ile fiilen aynı kusur olduğu ortaya çıktı. Güvenlik açığı, her iki şirketin de uyguladığı libwebp kütüphanesidir.
Google ilk olarak libwebp’deki kusur için yeni bir CVE kimliği oluşturdu (CVE-2023-5129), ancak kısa süre sonra bu kimlik, CVE-2023-4863’ün kopyası olduğu gerekçesiyle reddedildi veya geri çekildi.