Google · Chrome FreeType
CVE-2020-15999
Google Chrome FreeType Heap Buffer Overflow Vulnerability
Что это
Heap buffer overflow in Freetype in Google Chrome prior to 86.0.4240.111 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
CISA: Google Chrome uses FreeType, an open-source software library to render fonts, which contains a heap buffer overflow vulnerability in the function Load_SBit_Png when processing PNG images embedded into fonts. This vulnerability is part of an exploit chain with CVE-2020-17087 on Windows and CVE-2020-16010 on Android.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 17 ноября 2021 г.
- Добавлена в список CISA
- 3 ноября 2021 г.
- Опубликована
- 3 ноября 2020 г.
- Серьёзность
- Критическая 9,6 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 64% в верхних 0,8% всех известных уязвимостей
- Тип слабости
- CWE-787
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (10)
- http://lists.opensuse.org/opensuse-security-announce/2020-11/msg00016.html
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/J3QVIGAAJ4D6…
- https://security.gentoo.org/glsa/202011-12
- https://security.gentoo.org/glsa/202012-04
- https://www.debian.org/security/2021/dsa-4824
- https://security.gentoo.org/glsa/202401-19
- https://crbug.com/1139963
- https://chromereleases.googleblog.com/2020/10/stable-channel-update-for-desktop_20.html
- http://seclists.org/fulldisclosure/2020/Nov/33
- https://googleprojectzero.blogspot.com/p/rca-cve-2020-15999.html
Другие эксплуатируемые уязвимости Google
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 27 окт. 2026 г. | Unchecked Return Value | Brotli | Критическая 9,2 | 55% |
| 16 сент. 2026 г. | Improper Authorization | Pixel | Высокий 8,8 | 0,6% |
| 9 сент. 2026 г. | Out of Bounds Write | Chromium V8 | Высокий 8,8 | 3,5% |
| 4 сент. 2026 г. | Type Confusion | Chromium V8 | Высокий 8,8 | 1,8% |
| 9 июн. 2026 г. | Out-of-Bounds Read and Write | Chromium V8 | Высокий 8,8 | 2,4% |
| 1 апр. 2026 г. | Use-After-Free | Dawn | Высокий 8,8 | 14% |
| 13 мар. 2026 г. | Out-of-Bounds Write | Skia | Высокий 8,8 | 2,3% |
| 13 мар. 2026 г. | Improper Restriction of Operations Within the Bounds of a Memory Buffer | Chromium V8 | Высокий 8,8 | 2,7% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.