CVE-2022-4135

Google Chromium GPU

ВЕРОЯТНОСТЬ 0.1%
Дата обнаружения

2022-11-28

Официальное описание

Google Chromium GPU contains a heap buffer overflow vulnerability that allows a remote attacker, who has compromised the renderer process, to potentially perform a sandbox escape via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

🛡️
Технический анализ и план устранения

Суть уязвимости

CVE-2022-4135 представляет собой критическую уязвимость типа Heap Buffer Overflow (переполнение буфера в куче) в компоненте GPU браузера Chromium. Проблема возникает из-за некорректной проверки границ данных при обработке графических операций.

Злоумышленник, уже скомпрометировавший процесс рендеринга (например, через отдельную уязвимость в движке V8), может использовать этот баг для выхода за пределы песочницы (Sandbox Escape). Это позволяет выполнить произвольный код в контексте операционной системы с правами текущего пользователя, просто заманив жертву на специально подготовленную HTML-страницу. Уязвимость активно эксплуатировалась "в дикой природе" (0-day) на момент обнаружения.

Как исправить

Основным и единственным надежным способом устранения уязвимости является обновление кодовой базы Chromium до версии 107.0.5304.121 или выше.

Для пользователей Google Chrome (Linux):

sudo apt update && sudo apt upgrade google-chrome-stable

Для системных администраторов (проверка версии через терминал):

google-chrome --version

Для пользователей Microsoft Edge (Windows PowerShell):

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\msedge.exe" | Select-Object Version

Для пользователей macOS (обновление через Homebrew):

brew upgrade --cask google-chrome

После установки обновления необходимо полностью перезапустить браузер, чтобы новые бинарные файлы и библиотеки загрузились в память. Проверьте страницу chrome://settings/help, чтобы убедиться, что установлена актуальная версия.

Временные меры

Если немедленное обновление невозможно, используйте следующие методы для снижения риска эксплуатации:

  1. Отключение аппаратного ускорения (это исключит обращение к уязвимому компоненту GPU):
  2. Перейдите в Settings -> System.
  3. Выключите параметр Use hardware acceleration when available.

  4. Перезапустите браузер.

  5. Запуск браузера с флагом отключения GPU (через командную строку):

google-chrome --disable-gpu
  1. Использование политик ограничения (для корпоративных сред):
  2. Включите Site Isolation для всех сайтов.

  3. Ограничьте выполнение JavaScript на недоверенных ресурсах с помощью групповых политик (GPO) или расширений класса Endpoint Security.

  4. Использование режима "Strict" в Windows Defender Application Guard (для Edge), что запускает браузер в изолированной виртуальной машине.

Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей