Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-416

CVE-2020-16017

Google Chrome site isolation bileşeninde use-after-free ile sandbox kaçışı

Google Chrome

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2118 gün
Kaydı açan
Chrome
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, çalışanların yalnızca hazırlanmış bir web sayfasını ziyaret etmesiyle bilgisayarların ele geçirilmesine yol açabilir ve gerçek saldırılarda kullanıldığı bilinmektedir. Eski Chrome sürümü kullanan tüm cihazlar risk altındadır. Tarayıcıların vakit kaybetmeden güncellenmesi gerekir.

ÖzetTürkçe

Google Chrome'un site isolation bileşeninde bir use-after-free (serbest bırakılmış belleğin kullanımı) açığı bulunmaktadır. Renderer sürecini zaten ele geçirmiş uzaktan bir saldırgan, özel hazırlanmış bir HTML sayfasıyla sandbox'tan kaçabilir. 86.0.4240.198 öncesindeki tüm Chrome sürümleri etkilenmektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, tarayıcının sandbox korumasını aşarak kullanıcının sistemi üzerinde tarayıcı yetkileriyle kod çalıştırabilir ve gizlilik, bütünlük ile erişilebilirliği ciddi biçimde tehlikeye atabilir.

Kaynaktaki açıklama (İngilizce)

Use after free in site isolation in Google Chrome prior to 86.0.4240.198 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Google Chrome'u 86.0.4240.198 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden sonra tarayıcıyı tamamen kapatıp yeniden başlatın; böylece yeni sürümün devreye girdiğinden emin olun. Genel öneri
  3. Üreticinin talimatlarına uygun şekilde güncellemeleri uygulayın. CISA

Ek önlemler

  • Kurumdaki tüm iş istasyonlarında Chrome sürümlerini envanterleyin ve eski sürümleri merkezi yönetim araçlarıyla tespit edip güncelleyin. Genel öneri
  • Chrome için otomatik güncellemeyi etkin tutun ve kullanıcıların bunu kapatmasını engelleyin. Genel öneri
  • Kullanıcıları güvenilmeyen bağlantılara ve web sitelerine karşı bilinçlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Chrome < 86.0.4240.198 86.0.4240.198

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.