アレクサンダルニコリッチ, CiscoTalosの研究者, を発見しました 脆弱性 PDFiumで, GoogleChromeのデフォルトのPDFリーダー. 欠陥は任意のコード実行です, CVE-2016-1681として概説されています.
埋め込まれたjpeg2000画像を含むPDFが悪用可能なヒープバッファオーバーフローをアクティブ化すると、この脆弱性が悪用される可能性があります.
CVE-2016-1681の詳細
“OpenJPEGライブラリの既存のassert呼び出しは、スタンドアロンビルドでのヒープオーバーフローを防ぎます, ただし、Chromeのリリースバージョンに含まれるビルドでは, アサーションは省略されます“, 研究者は書いています.
jpeg2000画像が埋め込まれたPDFドキュメントを表示するだけです, 攻撃者は被害者のシステム上で任意のコードを実行する可能性があります. 最も効果的な攻撃ベクトルは、攻撃者が悪意のあるPDFファイルをWebサイトに配置し、フィッシングメールまたはマルバタイジングを使用して被害者をWebサイトにリダイレクトすることです。.
詳細については バッファオーバーフロー と マルバタイジング
幸いなことに, グーグルはすでに欠陥を修正しました, 確かに小さなものでした. 実際には, Googleは非常に迅速でした–Talosは5月19日に脆弱性を報告しました, 修正は5月25日までに準備ができていました. 修正には、アサーションをifに変更した1行のコードが含まれます.
Chromeユーザーの場合, ブラウザを更新する必要があります, およびバージョン 51.0.2704.63 CVEが悪用されないようにするために必要なものです. それにもかかわらず, 特に決定しない限り、Chromeは自動更新に設定されています. この場合, 手動で更新する必要があります.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: