CVE-2017-15422
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Przepełnienie liczby całkowitej w obsłudze dat międzynarodowych w International Components for Unicode (ICU) dla C/C++ przed wersją 60.1, używanym w V8 w Google Chrome przed 63.0.3239.84 i innych produktach, pozwala zdalnemu atakującemu na odczyt pamięci poza granicami poprzez spreparowaną stronę HTML.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu danych z pamięci procesu, co może prowadzić do ujawnienia wrażliwych informacji lub destabilizacji przeglądarki.
Rekomendacja
Zaktualizuj Google Chrome do wersji 63.0.3239.84 lub nowszej oraz zaktualizuj ICU do wersji 60.1 lub nowszej w innych produktach.
Inne podatności w ICU
Zobacz wszystkie- CVE-2016-7594Wysokie
W niektórych produktach Apple, w tym iOS przed wersją 10.2, macOS przed wersją 10.12.2 oraz watchOS przed wersją 3.1.3, odkryto problem związany z komponentem 'ICU'. Umożliwia on zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez złośliwie skonstruowaną stronę internetową.
- CVE-2025-5222Wysokie
W bibliotece International Components for Unicode (ICU) wykryto przepełnienie bufora stosu podczas uruchamiania narzędzia genrb. Błąd występuje w funkcji SRBRoot::addTag, gdzie struktura 'subtag' ulega przepełnieniu, co może prowadzić do uszkodzenia pamięci i lokalnego wykonania dowolnego kodu.
- CVE-2020-21913Średnie
W International Components for Unicode (ICU-20850) w wersji 66.1 odkryto błąd użycia po zwolnieniu (use after free) w funkcji pkg_createWithAssemblyCode w pliku tools/pkgdata/pkgdata.cpp.
- CVE-2020-10531Wysokie
W International Components for Unicode (ICU) dla C/C++ do wersji 66.1 występuje przepełnienie liczb całkowitych prowadzące do przepełnienia bufora na stercie w funkcji UnicodeString::doAppend() w pliku common/unistr.cpp.
Oryginalny opis (angielski, źródło NVD)
Integer overflow in international date handling in International Components for Unicode (ICU) for C/C++ before 60.1, as used in V8 in Google Chrome prior to 63.0.3239.84 and other products, allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS