PT-2021-6359 · Google+1 · Google Chrome+1

Maciekpul · Publicado 2021-09-07 · Atualizado 2023-01-09 · CVE-2022-0337

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Google Chrome anteriores à 97.0.4692.71

Descrição

O problema está relacionado a uma implementação inadequada na API do sistema de arquivos do Google Chrome no Windows, permitindo que um invasor remoto obtenha informações potencialmente confidenciais por meio de uma página HTML maliciosa. Isso poderia potencialmente conceder acesso às variáveis de ambiente do usuário. A gravidade deste problema é considerada alta.

Recomendações

Para versões do Google Chrome anteriores à 97.0.4692.71, atualize para a versão 97.0.4692.71 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à API de Acesso ao Sistema de Arquivos até que um patch seja aplicado. Evite usar o método Window.showSaveFilePicker() em páginas HTML criadas para esse fim até que o problema seja resolvido.

Exploit

Correção

Information Disclosure

Exposure of Resource to Wrong Sphere

Improper Privilege Management

Enumeração de Fraquezas

CWE-200

CWE-668

CWE-264

CWE-269

Identificadores relacionados

BDU:2022-01381

CVE-2022-0337

MGASA-2022-0043

Produtos afetados

Astra Linux

Google Chrome

Referências · 19

• 🔥 https://github.com/Puliczek/CVE-2022-0337-PoC-Google-Chrome-Microsoft-Edge-Opera · Exploit
• 🔥 https://crbug.com/1247389 · Exploit
• https://t.me/cvenotify/41147 · Publicação no Telegram
• https://t.me/freedomf0x/15940 · Publicação no Telegram
• https://chromereleases.googleblog.com/2022/01/stable-channel-update-for-desktop_19.html · Nota
• https://t.me/cybersecuritytechnologies/5645 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2022-0337 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-0337 · Aviso do Fabricante
• https://t.me/github_repos/7127 · Publicação no Telegram
• https://osv.dev/vulnerability/MGASA-2022-0043 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-0337 · Aviso do Fabricante
• https://t.me/thebugbountyhunter/6101 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-0337 · Nota de Segurança
• https://advisories.mageia.org/MGASA-2022-0043.html · Nota de Segurança
• https://chromereleases.googleblog.com/2022/01/stable-channel-update-for-desktop.html · Aviso do Fabricante