CVE-2016-1636

Krytyczne

Opublikowano: 06/03/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Funkcja PendingScript::notifyFinished w Google Chrome przed wersją 49.0.2623.75 opiera się na informacjach z pamięci podręcznej dotyczących wystąpień kontroli integralności, co pozwala zdalnym atakującym na ominięcie mechanizmu ochrony Subresource Integrity (SRI) poprzez wywołanie dwóch załadunków tego samego zasobu.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do wprowadzenia złośliwego kodu, co może prowadzić do kompromitacji bezpieczeństwa aplikacji webowych.

Rekomendacja

Zaleca się aktualizację przeglądarki Google Chrome do najnowszej wersji, aby usunąć tę podatność.

Oryginalny opis (angielski, źródło NVD)

The PendingScript::notifyFinished function in WebKit/Source/core/dom/PendingScript.cpp in Google Chrome before 49.0.2623.75 relies on memory-cache information about integrity-check occurrences instead of integrity-check successes, which allows remote attackers to bypass the Subresource Integrity (aka SRI) protection mechanism by triggering two loads of the same resource.