Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-416

CVE-2021-30633

Google Chrome Indexed DB API'sinde use-after-free zafiyeti (sandbox kaçışı)

Google Chrome

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1845 gün
Kaydı açan
Chrome
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021.

Yönetici özeti

Çalışanların kullandığı Chrome tarayıcısındaki bu açık, kötü amaçlı bir web sayfası üzerinden tarayıcının güvenlik duvarlarının aşılmasına yol açabilir ve aktif olarak istismar edildiği bilinmektedir. Tarayıcıların vakit kaybetmeden güncellenmesi gerekir.

ÖzetTürkçe

Google Chrome'un Indexed DB API bileşeninde bellek yönetiminden kaynaklanan bir use-after-free (serbest bırakılmış belleğin kullanımı) zafiyeti bulunuyor. Renderer sürecini daha önce ele geçirmiş bir uzak saldırgan, özel hazırlanmış bir HTML sayfası aracılığıyla sandbox'tan kaçabilir. Zafiyet Google Chrome'un 93.0.4577.82 öncesi sürümlerini etkiliyor ve CISA tarafından aktif olarak istismar edilen zafiyetler (KEV) kataloğuna eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, tarayıcının sandbox korumasını aşarak sistem üzerinde yetkisiz işlemler yapabilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşabilir. Sömüreme için kullanıcının hazırlanmış bir sayfayı ziyaret etmesi gerekir.

Kaynaktaki açıklama (İngilizce)

Use after free in Indexed DB API in Google Chrome prior to 93.0.4577.82 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Google Chrome'u 93.0.4577.82 veya daha yeni bir sürüme güncelleyin. Üretici
  2. CISA'nın gereksinimi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme sonrası tarayıcıyı yeniden başlatın ve tüm iş istasyonları ile paylaşımlı sunucularda sürümün güncellendiğini doğrulayın. Genel öneri

Ek önlemler

  • Kurumdaki tüm cihazlarda Chrome için otomatik güncellemeyi etkin tutun ve merkezi yönetim araçlarıyla sürüm uyumluluğunu düzenli denetleyin. Genel öneri
  • Kullanıcıları güvenilmeyen bağlantılara tıklamama ve şüpheli sitelere girmeme konusunda bilgilendirin. Genel öneri
  • Chromium tabanlı diğer tarayıcıların ve gömülü bileşenlerin de üreticileri tarafından yayımlanan güncel sürümlere yükseltildiğini kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Chrome < 93.0.4577.82 93.0.4577.82

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.