Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-122
  • CWE-787

CVE-2020-16010

Android için Google Chrome arayüzünde yığın tabanlı arabellek taşması

Google Chrome

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
13 Oca 2026
Açık yaşı
2185 gün
Kaydı açan
Chrome
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Android cihazlardaki eski Chrome sürümleri, kötü amaçlı bir web sayfası aracılığıyla ele geçirilebilir ve zafiyetin gerçek saldırılarda kullanıldığı bilinmektedir. Şirket ve çalışan cihazlarında Chrome'un güncellenmesi acildir. Güncelleme yapılmazsa cihazdaki veriler ve hesaplar risk altında kalır.

ÖzetTürkçe

Android üzerinde çalışan Google Chrome'un kullanıcı arayüzü bileşeninde yığın (heap) tabanlı bir arabellek taşması bulunuyor. 86.0.4240.185 öncesi sürümler etkileniyor. Render işlemini daha önce ele geçirmiş bir saldırgan, özel hazırlanmış bir HTML sayfası ile korumalı alandan (sandbox) kaçabilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Render sürecini ele geçirmiş bir saldırgan, sandbox sınırını aşarak cihaz üzerinde daha yüksek yetkilerle işlem yapabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde ciddi etki yaratabilir.

Kaynaktaki açıklama (İngilizce)

Heap buffer overflow in UI in Google Chrome on Android prior to 86.0.4240.185 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Android üzerindeki Google Chrome'u 86.0.4240.185 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın; kurumsal cihazlarda sürümü yönetim aracından doğrulayın. CISA
  3. Güncelleme hemen yapılamıyorsa, güncelleme tamamlanana kadar güvenilmeyen web sitelerini açmaktan kaçının. Genel öneri

Ek önlemler

  • Mobil cihaz yönetimi ile Chrome için otomatik güncellemeleri zorunlu kılın ve eski sürüm kullanan cihazları belirleyin. Genel öneri
  • Çalışanları şüpheli bağlantılara tıklamama konusunda bilgilendirin. Genel öneri
  • Cihazlarda olağan dışı davranış veya beklenmeyen uygulama etkinliği olup olmadığını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Chrome < 86.0.4240.185 86.0.4240.185

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.