【缝隙公告】Google Chrome代码执行缝隙（CVE-2022-2856）

颁布功夫 2022-08-18


0x00 缝隙概述

CVE   ID

CVE-2022-2856

发现功夫

2022-08-17

类    型

代码执行

等    级

高危

远程利用

是

影响领域


攻击复杂度


用户交互


PoC/EXP


在野利用


 

0x01 缝隙详情

Google Chrome是Google（谷歌）公司开发的Web浏览器。

8月16日 ，Google Chrome颁布更新布告 ，建复了Chrome中的多个安全缝隙 ，其中CVE-2022-2856已发此刻野利用 ，详情如下：

Chrome中的Intents职能能够直接从网页上启动利用法式和web服务 ，由于Intents中对不受信赖的输入验证不及 ，成功利用此缝隙可能导致肆意代码执行。

Google Chrome本次安全更新还建复了如下缝隙：

CVE-2022-2852：FedCM 中的Use-After-Free（严沉）

CVE-2022-2854：SwiftShader中的Use-After-Free（高危）

CVE-2022-2855：ANGLE中的Use-After-Free（高危）

CVE-2022-2857：Blink中的Use-After-Free（高危）

CVE-2022-2858：Sign-In Flow中的Use-After-Free（高危）

CVE-2022-2853：Downloads中的堆缓冲区溢出（高危）

CVE-2022-2859：Chrome OS Shell中的Use-After-Free（中危）

CVE-2022-2860：Cookie 中的战术执行不及（中危）

CVE-2022-2861：扩大 API 中的执行不当（中危）

CVE-2022-2856是Google Chrome 2022 年建复的第5个被利用的0 day缝隙 ，其它4个缝隙别离为：

CVE-2022-0609 ：Animation中的Use-After-Free

CVE-2022-1096 ：V8 中的类型混合

CVE-2022-1364 ：V8中的类型混合

CVE-2022-2294 ：WebRTC 中的堆缓冲区溢出

 

影响领域

Google Chrome Desktop < 104.0.5112.101 (Mac/linux)

Google Chrome Desktop <104.0.5112.102/101 (Windows)

Google Chrome Extended < 104.0.5112.101（Mac）

Google Chrome Extended < 104.0.5112.102（Windows）

 

0x02 安全建议

目前这些缝隙已经建复 ，受影响用户可升级到以下版本：

Google Chrome Desktop >= 104.0.5112.101 (Mac/linux)

Google Chrome Desktop >=104.0.5112.102/101(Windows)

Google Chrome Extended >= 104.0.5112.101（Mac）

Google Chrome Extended >=104.0.5112.102（Windows）

下载链接：

https://www.google.com/chrome/

注：可在浏览器-【设置】-【关于Chrome】查抄版本更新 ，并在更新实现后沉新启动。

 

0x03 参考链接

https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html

https://www.bleepingcomputer.com/news/security/google-fixes-fifth-chrome-zero-day-bug-exploited-this-year/

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-08-18

初次颁布

 

 

0x05 附录

GA黄金甲简介

GA黄金甲成立于1996年 ，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。

公司总部位于北京市中关村软件园GA黄金甲大厦 ，公司员工近4000人 ，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个 ，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）

多年来 ，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务 ，援手客户全面提升其IT基础设施的安全性和出产效力 ，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。

 

关于GA黄金甲

GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。

关注以下公家号 ，获取全球最新安全资讯：

image.png