CVE-2021-21148

Google Chromium V8

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2021-11-03

Официальное описание

Google Chromium V8 Engine contains a heap buffer overflow vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

🛡️
Технический анализ и план устранения

Суть уязвимости

Уязвимость (CVE-2021-21148) — это переполнение буфера в куче (heap buffer overflow) в движке JavaScript V8 в браузерах на базе Chromium. Атакующий может создать специальную HTML-страницу, которая при обработке JavaScript вызовет повреждение данных в памяти (heap corruption). Это может привести к выполнению произвольного кода на компьютере пользователя, просто посетившего вредоносный сайт.

Как исправить

Уязвимость устранена в обновленных версиях браузеров. Необходимо обновить все браузеры на базе Chromium в системе.

  • Для Google Chrome (Linux, Windows, macOS):

    • Обновите до версии 88.0.4324.182 или новее.
    • Linux (Debian/Ubuntu): bash sudo apt update && sudo apt install --only-upgrade google-chrome-stable
    • Windows: Обновление происходит автоматически через службу обновления Google. Для принудительной проверки: chrome://settings/help.
    • macOS: Обновления Google Chrome в меню Chrome или через App Store.

  • Для Microsoft Edge:

    • Обновите до версии 88.0.705.81 или новее.
    • Обновление обычно происходит автоматически. Для проверки: edge://settings/help.

  • Для браузеров, управляемых через пакетный менеджер (например, chromium-browser в Ubuntu): bash sudo apt update && sudo apt install --only-upgrade chromium-browser

    • Убедитесь, что установлена версия пакета, содержащая исправление для CVE-2021-21148 (например, для Ubuntu 20.04 это 88.0.4324.182-0ubuntu0.20.04.1).

  • Для систем Windows (через централизованное управление):

    • Убедитесь, что развернуты последние стабильные версии браузеров.
    • Для Chrome: политика TargetVersionPrefix должна быть установлена в 88.0.4324.182.
    • Для Edge: убедитесь, что установлено обновление Windows с соответствующим исправлением.

Временное решение

Если немедленное обновление невозможно, примите следующие меры для снижения риска:

  1. Настройка WAF/Прокси:

    • Настройте корпоративный WAF или веб-прокси (например, Squid с правилами фильтрации контента) для блокировки доступа к известным вредоносным доменам и ресурсам.
    • Внедрите правила для фильтрации или проверки подозрительного JavaScript-кода (хотя это сложно и может ломать функциональность сайтов).

  2. Ограничение прав пользователей:

    • Убедитесь, что все пользователи работают с правами стандартного пользователя (без прав администратора). Это значительно усложнит эксплуатацию уязвимости для получения полного контроля над системой.

  3. Изоляция и контроль:

    • Рассмотрите возможность использования браузеров в изолированных средах (например, Sandboxie, отдельные виртуальные машины или контейнеры) для доступа к ненадежным веб-ресурсам.
    • Включите и усильте настройки sandbox браузера (включено по умолчанию, не отключайте).

  4. Повышение осведомленности:

    • Направьте сотрудникам предупреждение о необходимости избегать посещения непроверенных сайтов и не переходить по подозрительным ссылкам до момента установки обновлений.

Важно: Эти меры являются временными и не заменяют установку официального патча. Приоритетной задачей должно оставаться обновление браузеров.

Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей