Aktywnie wykorzystywana w atakach
ChakraCore Scripting Engine Type Confusion Vulnerability
ChakraCore - ChakraCore scripting engine · Figuruje w katalogu CISA KEV od 2022-03-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2018-8298
WysokieCVSS 7.5KEVStreszczenie
W silniku skryptowym ChakraCore występuje podatność umożliwiająca zdalne wykonanie kodu w wyniku nieprawidłowej obsługi obiektów w pamięci. Podatność dotyczy ChakraCore.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod w kontekście procesu korzystającego z ChakraCore, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Należy zaktualizować ChakraCore do wersji zawierającej poprawkę zabezpieczającą.
Inne podatności w ChakraCore
Zobacz wszystkie- CVE-2017-11916Wysokie
ChakraCore pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika, z powodu sposobu, w jaki silnik skryptowy ChakraCore obsługuje obiekty w pamięci. Jest to znane jako 'Podatność na uszkodzenie pamięci silnika skryptowego'.
- CVE-2017-11801Wysokie
ChakraCore umożliwia atakującemu wykonanie dowolnego kodu w kontekście bieżącego użytkownika, z powodu sposobu, w jaki silnik skryptowy ChakraCore obsługuje obiekty w pamięci. Jest to znane jako 'Podatność ujawnienia informacji w silniku skryptowym'.
- CVE-2017-11797Wysokie
ChakraCore pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika, z powodu sposobu, w jaki silnik skryptowy ChakraCore obsługuje obiekty w pamięci. Jest to znane jako 'Podatność ujawnienia informacji w silniku skryptowym'.
- CVE-2020-1065Średnie
Podatność na zdalne wykonanie kodu w silniku skryptowym ChakraCore. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście bieżącego użytkownika, co może prowadzić do przejęcia kontroli nad systemem, jeśli użytkownik ma uprawnienia administracyjne.
- CVE-2017-11767Krytyczne
ChakraCore umożliwia atakującemu uzyskanie tych samych uprawnień co bieżący użytkownik, z powodu sposobu, w jaki silnik skryptowy ChakraCore obsługuje obiekty w pamięci.
- CVE-2023-37143Średnie
W gałęzi master ChakraCore cbb9b odkryto naruszenie segmentacji w funkcji BackwardPass::IsEmptyLoopAfterMemOp().
- CVE-2023-37142Średnie
W gałęzi master ChakraCore cbb9b odkryto naruszenie segmentacji w funkcji Js::EntryPointInfo::HasInlinees().
- CVE-2023-37141Średnie
W gałęzi master ChakraCore cbb9b odkryto naruszenie segmentacji w funkcji Js::ProfilingHelpers::ProfiledNewScArray().
- CVE-2023-37140Średnie
W gałęzi master ChakraCore cbb9b odkryto naruszenie segmentacji w funkcji Js::DiagScopeVariablesWalker::GetChildrenCount().
- CVE-2023-37139Średnie
W gałęzi master ChakraCore cbb9b odkryto podatność na przepełnienie stosu w funkcji Js::ScopeSlots::IsDebuggerScopeSlotArray().
Oryginalny opis (angielski, źródło NVD)
A remote code execution vulnerability exists in the way that the ChakraCore scripting engine handles objects in memory, aka "Scripting Engine Memory Corruption Vulnerability." This affects ChakraCore. This CVE ID is unique from CVE-2018-8242, CVE-2018-8283, CVE-2018-8287, CVE-2018-8288, CVE-2018-8291, CVE-2018-8296.