CVE-2022-3443
Sobre
Validação de dados insuficiente na File System API no Google Chrome anterior à versão 106.0.5249.62 permitia que um atacante remoto contornasse as restrições do File System por meio de uma página HTML criada para esse fim. (Severidade de segurança Chromium: Baixa)
Análise do analista Rainforest
Esta é uma falha de validação na File System API do Chrome: uma página criada para esse fim pode escapar de algumas das restrições que a API deveria impor. Ela exige que a vítima realmente carregue a página maliciosa, e mesmo a própria triagem do Chromium classificou a severidade como Baixa. Nada aqui concede execução de código ou roubo de dados por si só; apenas afrouxa uma fronteira sobre a qual outras coisas teriam de se apoiar.
Falhas como esta quase nunca sofrem exploração oportunista. Não há servidor não autenticado para bombardear, o retorno é marginal, e bugs de baixa severidade adjacentes ao sandbox do navegador não são o que atores comuns se dão ao trabalho de armar. A atualização automática silenciosa do Chrome também significa que a janela de vulnerabilidade se fecha sozinha para a grande maioria dos usuários dentro de dias após o lançamento estável que carrega a correção.
Classificaríamos isso bem abaixo do seu 4.3 e deixaríamos o canal de atualização do navegador fazer o trabalho. Nossa única ação real é confirmar que as frotas gerenciadas de Chrome não estão presas a uma build antiga anterior à 106.0.5249.62 por alguma política corporativa; onde a atualização automática está intacta, isso não requer atenção dedicada da nossa parte.
Referências
- https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html
- https://crbug.com/1243802
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PQKT7EGDD2P3L7S3NXEDDRCPK4NNZNWJ/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YKLJ3B3D5BCVWE3QNP4N7HHF26OHD567/
CVEs Relacionadas
Nenhuma CVE relacionada.
Perguntas frequentes
O que é CVE-2022-3443?
Validação de dados insuficiente na File System API no Google Chrome anterior à versão 106.0.5249.62 permitia que um atacante remoto contornasse as restrições do File System por meio de uma página HTML criada para esse fim. (Severidade de segurança Chromium: Baixa)
Qual a gravidade de CVE-2022-3443?
CVE-2022-3443 tem pontuação base CVSS 3.1 de 4.3, classificada como medium. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 49 de 100, na faixa moderado.
Como CVE-2022-3443 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Nenhum, interação do usuário Requerida. Impacto em confidencialidade Nenhum, integridade Baixo e disponibilidade Nenhum.
Quais produtos são afetados por CVE-2022-3443?
Os avisos públicos listam como afetados: chrome. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2022-3443?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.