- Aktif istismar
- Yama var
- CWE-120
- CWE-787
CVE-2020-15999
Google Chrome FreeType bileşeninde yığın (heap) tabanlı arabellek taşması
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2185 gün
- Kaydı açan
- Chrome
Yönetici özeti
Güncellenmemiş Chrome tarayıcıları, yalnızca zararlı bir web sayfasının açılmasıyla ele geçirilebilir ve bu açığın gerçek saldırılarda kullanıldığı bilinmektedir. Çalışan bilgisayarlarının ve verilerinin risk altında olmaması için tarayıcıların hızla güncellenmesi gerekir.
ÖzetTürkçe
Google Chrome içinde kullanılan FreeType yazı tipi kütüphanesinde bir heap arabellek taşması (buffer overflow) açığı bulunmaktadır. Uzaktan bir saldırgan, özel hazırlanmış bir HTML sayfası aracılığıyla bellek bozulmasını tetikleyebilir. Chrome'un 86.0.4240.111 sürümünden önceki tüm sürümleri etkilenmektedir. Açık, CISA tarafından bilinen ve aktif olarak istismar edilen zafiyetler (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, kullanıcıyı zararlı bir sayfayı ziyaret etmeye ikna ederek heap belleğini bozabilir ve bu durum tarayıcı bağlamında kod çalıştırmaya yol açabilir. Bu da gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.
Kaynaktaki açıklama (İngilizce)
Heap buffer overflow in Freetype in Google Chrome prior to 86.0.4240.111 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Google Chrome'u 86.0.4240.111 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeyi uyguladıktan sonra tarayıcıyı tamamen kapatıp yeniden başlatın; tüm kullanıcı sistemlerinde sürümün güncel olduğunu doğrulayın. Genel öneri
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
Ek önlemler
- Tarayıcılar için otomatik güncellemeyi etkin tutun ve kurumsal ortamda merkezi yama yönetimi ile sürümleri düzenli denetleyin. Genel öneri
- Güncelleme tamamlanana kadar kullanıcıları güvenilmeyen veya bilinmeyen web sitelerini açmama konusunda uyarın. Genel öneri
- Chrome tabanlı diğer tarayıcıları ve gömülü Chromium bileşenlerini kullanan uygulamaları da güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Chrome | < 86.0.4240.111 | 86.0.4240.111 |
Kaynaklar12 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.opensuse.org/opensuse-security-announce/2020-11/msg00016.html Üretici bülteni
- lists.fedoraproject.org/…t.org/message/J3QVIGAAJ4D62YEJAJJWMCCBCOQ6TVL7 Üretici bülteni
- security.gentoo.org/glsa/202011-12 Üretici bülteni
- security.gentoo.org/glsa/202012-04 Üretici bülteni
- debian.org/security/2021/dsa-4824 Üretici bülteni
- security.gentoo.org/glsa/202401-19 Üretici bülteni
- crbug.com/1139963 Diğer
- chromereleases.googleblog.com/…0/10/stable-channel-update-for-desktop_20.html Diğer
- seclists.org/fulldisclosure/2020/Nov/33 Diğer
- googleprojectzero.blogspot.com/p/rca-cve-2020-15999.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.