Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-416

CVE-2021-37973

Google Chrome Portals bileşeninde use-after-free: sandbox kaçışı

Google Chrome

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1845 gün
Kaydı açan
Chrome
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021.

Yönetici özeti

Chrome tarayıcısındaki bu açık, kötü niyetli bir web sayfası üzerinden bilgisayarın ele geçirilmesine yol açabilir ve gerçek saldırılarda kullanıldığı bilinmektedir. Tüm çalışanların kullandığı Chrome sürümlerinin vakit kaybetmeden güncellenmesi gerekir.

ÖzetTürkçe

Google Chrome'un Portals bileşeninde bellek yönetimi hatası (use-after-free, CWE-416) bulunuyor. Oluşturucu (renderer) sürecini daha önce ele geçirmiş bir uzak saldırgan, özel hazırlanmış bir HTML sayfası ile sandbox korumasını aşabilir. 94.0.4606.61 öncesindeki tüm Google Chrome sürümleri etkileniyor. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, tarayıcının sandbox izolasyonunu aşarak sistemde daha yüksek yetkilerle işlem yapabilir ve gizlilik, bütünlük ve erişilebilirlik üzerinde ciddi etki oluşturabilir. Zafiyetin kullanıcı etkileşimi (zararlı sayfanın ziyaret edilmesi) gerektirdiği belirtiliyor.

Kaynaktaki açıklama (İngilizce)

Use after free in Portals in Google Chrome prior to 94.0.4606.61 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Google Chrome'u 94.0.4606.61 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeyi uyguladıktan sonra tarayıcıyı tamamen kapatıp yeniden başlatın ve sürüm numarasını kontrol edin. Genel öneri
  3. CISA KEV gereği: güncellemeleri üretici talimatlarına göre uygulayın. CISA

Ek önlemler

  • Kurumdaki tüm iş istasyonlarında ve sunucularda Chrome'un otomatik güncellenmesini etkinleştirin ve sürüm uyumluluğunu merkezi olarak izleyin. Genel öneri
  • Güncelleme yapılana kadar güvenilmeyen web sitelerine gitmekten kaçınılmasını ve şüpheli bağlantılara tıklanmamasını kullanıcılara duyurun. Genel öneri
  • Chromium tabanlı diğer tarayıcıların ve gömülü bileşenlerin de güncel olduğunu kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Chrome < 94.0.4606.61 94.0.4606.61

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.