微软研究人员本周披露存在ChromeOS的重大漏洞，可被攻击者用以发动拒绝服务（Denial of Service，DoS）攻击，最严重还可能被远程执行程序代码。Google已经于6月的安全更新进行修补。
编号CVE-2022-2587的漏洞为一内存毁损漏洞，攻击者可修改metadata的音频，并诱使用户点击播放音频档触发，像是以浏览器播放、利用配对好的蓝牙设备播放，或是运用中间人攻击（adversary-in-the-middle，AiTM）远程开采这项漏洞。本漏洞风险值被列为9.8。
这项漏洞位于CRAS（ChromiumOS Audio Server）组件。CRAS是位于OS和ALSA（Advanced Linux Sound Architecture）之间的服务器组件，作用在将声音导向新插上的组件，像是USB音箱或蓝牙设备上。
微软Defender安全研究人员指出，CRAS识别新设备的服务SetPlayerIdentity执行过程中使用的函数strcpy，这项函数向以未能边界检查（bound check）闻名，也经常引发堆积内存溢出漏洞。在本例中，strcpy未能检查用户送给SetPlayerIdentity的音频D-Bus消息中、代表音乐曲名的“identity”参数（argument）。攻击者可以借由修改D-Bus消息参数为大于128bytes来触发SetPlayerIdentity的堆积内存缓冲溢出。
至于如何变更这个metadata，研究人员发现二个场景，包括以浏览器播放新歌曲，或是在配对的蓝牙设备播放新歌曲，可远程造成metadata变更，借此触发越界写入（out of bounds write）。因此攻击者可以通过诱使用户在浏览器或蓝牙设备上播放音乐，借此发动DoS或RCE等攻击。
微软研究人员于4月发现这项漏洞已通知Google Chrome小组。Google已在6月安全更新中发布ChromeOS 102.0.5005.125版本解决该漏洞。