CVE-2016-5196

Wysokie

Opublikowano: 19/01/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Klient renderera treści w Google Chrome przed wersją 54.0.2840.85 dla systemu Android niewystarczająco egzekwował politykę tej samej lokalizacji w przypadku pobranych plików, co pozwalało zdalnemu atakującemu na dostęp do dowolnego pobranego pliku oraz interakcję z witrynami, w tym tymi, na które użytkownik był zalogowany, za pomocą spreparowanej strony HTML.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych użytkownika oraz przeprowadzać nieautoryzowane operacje na stronach, na których użytkownik jest zalogowany, co stanowi poważne zagrożenie dla bezpieczeństwa danych.

Rekomendacja

Zaleca się aktualizację Google Chrome do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków bezpieczeństwa, takich jak monitorowanie pobieranych plików.

Inne podatności w Google Chrome for Android

CVE-2016-5197Wysokie
Klient widoku treści w Google Chrome przed wersją 54.0.2840.85 dla systemu Android niewystarczająco weryfikował adresy URL intencji, co pozwalało zdalnemu atakującemu, który przejął proces renderowania, na uruchomienie dowolnej aktywności w systemie za pomocą spreparowanej strony HTML.

Oryginalny opis (angielski, źródło NVD)

The content renderer client in Google Chrome prior to 54.0.2840.85 for Android insufficiently enforced the Same Origin Policy amongst downloaded files, which allowed a remote attacker to access any downloaded file and interact with sites, including those the user was logged into, via a crafted HTML page.