[2019.03.07] Google Chrome 제로데이 원격 코드 실행 취약점 (CVE-2019-5786)

요약

- 취약점 :  FileReader 요소의 Use-After-Free 취약점이 발생해 비인가 원격 공격자는 Chrome 웹 브라우저의 권한을 얻고, 이를 이용해 샌드박스를 벗어나 임의의 코드를 실행할 수 있음.

공격자가 특수하게 제작한 웹 페이지를 사용자가 열거나, 해당 웹페이지로 리다이렉트 될 시 해당 취약점을 이용한 공격이 가능..

- *Use-After-Free(UAF)취약점 : 비인가 사용자가 취약 시스템/소프트웨어에서 권한 상승이 가능하도록 메모리의 데이터를 손상시키거나 

                                        변조를 일으키는 메모리 손상 취약점.

*FileReader : 일반적인 API로 웹 어플리케이션이 ‘File’ 또는 ‘Blob’객체를 이용해 읽고자 하는 파일/데이터를 특정함. 

                 사용자의 컴퓨터에 저장된 파일 또는 로우 데이터 버퍼의 내용을 비동기식으로 읽을 수 있도록 디자인 됨. 

- 해당 제로데이 취약점을 이용해 Chrome 사용자에 대한 공격이 활발히 이루어지고 있음

- 영향 받는 제품 : Windows, Mac OS, Linux 사용 Google Chrome 

- 대응방안 : Chrome update 72.0.3626.121 또는 최신버전으로 업데이트

관련 CVE정보

- CVE-2019-5786

- CVSS 3.0 Score : 8.8

- PoC : 현재(2019.03.07 16:30) 없음

영향성

크롬 브라우저 사용 고객사는 신속한 패치 필요

참고자료

Chrome : https://chromereleases.googleblog.com/2019/03/stable-channel-update-for-desktop.html

출처 : https://thehackernews.com/2019/03/update-google-chrome-hack.html

https://www.bleepingcomputer.com/news/security/google-chrome-update-patches-zero-day-actively-exploited-in-the-wild/