CVE-2015-1304
WysokieStreszczenie
W pliku object-observe.js w Google V8, używanym w Google Chrome przed wersją 45.0.2454.101, nieprawidłowo ograniczono wywołania metod na obiektach z kontrolą dostępu. To umożliwia zdalnym atakującym obejście polityki Same Origin poprzez wywołania observe lub getNotifier.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do danych z innych źródeł, co może prowadzić do kradzieży informacji lub innych działań złośliwych.
Rekomendacja
Zaleca się aktualizację Google Chrome do najnowszej wersji, aby usunąć tę podatność oraz zapewnić odpowiednią ochronę przed atakami.
Inne podatności w Google V8 in Google Chrome
Zobacz wszystkie- CVE-2015-6771Wysokie
W Google V8, używanym w Google Chrome przed wersją 47.0.2526.73, występuje nieprawidłowa implementacja niektórych operacji map i filter dla tablic, co może prowadzić do odmowy usługi (dostęp do pamięci poza zakresem) lub innych nieokreślonych skutków za pomocą spreparowanego kodu JavaScript.
- CVE-2014-1716Wysokie
Podatność XSS w funkcji Runtime_SetPrototype w Google V8, używanej w Google Chrome przed wersją 34.0.1847.116, umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez nieokreślone wektory.
Oryginalny opis (angielski, źródło NVD)
object-observe.js in Google V8, as used in Google Chrome before 45.0.2454.101, does not properly restrict method calls on access-checked objects, which allows remote attackers to bypass the Same Origin Policy via a (1) observe or (2) getNotifier call.