Chromium：CVE-2023-1215 CSS 中的类型混淆

CVE编号

CVE-2023-1215

利用情况

暂无

补丁情况

N/A

披露时间

2023-03-08

漏洞描述

谷歌Chrome在111.0.5563.64之前的版本中存在CSS类型混淆漏洞，通过一个特制的HTML页面，远程攻击者可以利用堆栈破坏的漏洞潜在地攻击系统。(Chromium安全严重程度：高)

解决建议

"将组件 chromium 升级至 111.0.5563.64 及以上版本"

参考链接
https://chromereleases.googleblog.com/2023/03/stable-channel-update-for-desktop.html
https://crbug.com/1417176
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-1215

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	google	chrome	*		Up to (excluding) 111.0.5563.64
	运行在以下环境
	系统	alpine_3.17	qt5-qtwebengine	*		Up to (excluding) 5.15.12-r3
	运行在以下环境
	系统	alpine_3.18	qt5-qtwebengine	*		Up to (excluding) 5.15.12-r9
	运行在以下环境
	系统	alpine_edge	qt5-qtwebengine	*		Up to (excluding) 5.15.12-r9
	运行在以下环境
	系统	debian_10	chromium	*		Up to (including) 90.0.4430.212-1~deb10u1
	运行在以下环境
	系统	debian_11	chromium	*		Up to (excluding) 111.0.5563.64-1~deb11u1
	运行在以下环境
	系统	debian_12	chromium	*		Up to (excluding) 111.0.5563.64-1
	运行在以下环境
	系统	debian_sid	chromium	*		Up to (excluding) 111.0.5563.64-1
	运行在以下环境
	系统	fedora_36	chromedriver	*		Up to (excluding) 111.0.5563.64-1.fc36
	运行在以下环境
	系统	fedora_37	chromium-common	*		Up to (excluding) 111.0.5563.64-1.fc37
	运行在以下环境
	系统	fedora_38	chromium-common	*		Up to (excluding) 1.2.7.1-5.fc38
	运行在以下环境
	系统	fedora_EPEL_7	chromium-common	*		Up to (excluding) 111.0.5563.64-1.el7
	运行在以下环境
	系统	fedora_EPEL_8	chromedriver	*		Up to (excluding) 111.0.5563.64-1.el8
	运行在以下环境
	系统	fedora_EPEL_9	chromedriver	*		Up to (excluding) 111.0.5563.64-1.el9
	运行在以下环境
	系统	opensuse_Leap_15.4	opera	*		Up to (excluding) 111.0.5563.64-bp154.2.73.1
	运行在以下环境
	系统	opensuse_Leap_15.5	opera	*		Up to (excluding) 99.0.4788.13-lp155.3.6.1
	运行在以下环境
	系统	ubuntu_18.04	chromium-browser	*		Up to (excluding) 111.0.5563.64-0ubuntu0.18.04.5

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-843	使用不兼容类型访问资源（类型混淆）

Exp相关链接

- avd.aliyun.com