微软研究人员本周披露存在chromeos的重大漏洞，可被攻击者用以发动拒绝服务（denial of service，dos）攻击，最严重还可能被远程执行程序代码。google已经于6月的安全更新进行修补。
编号cve-2022-2587的漏洞为一内存毁损漏洞，攻击者可修改metadata的音频，并诱使用户点击播放音频档触发，像是以浏览器播放、利用配对好的蓝牙设备播放，或是运用中间人攻击（adversary-in-the-middle，aitm）远程开采这项漏洞。本漏洞风险值被列为9.8。
这项漏洞位于cras（chromiumos audio server）组件。cras是位于os和alsa（advanced linux sound architecture）之间的服务器组件，作用在将声音导向新插上的组件，像是usb音箱或蓝牙设备上。
微软defender安全研究人员指出，cras识别新设备的服务setplayeridentity执行过程中使用的函数strcpy，这项函数向以未能边界检查（bound check）闻名，也经常引发堆积内存溢出漏洞。在本例中，strcpy未能检查用户送给setplayeridentity的音频d-bus消息中、代表音乐曲名的“identity”参数（argument）。攻击者可以借由修改d-bus消息参数为大于128bytes来触发setplayeridentity的堆积内存缓冲溢出。
至于如何变更这个metadata，研究人员发现二个场景，包括以浏览器播放新歌曲，或是在配对的蓝牙设备播放新歌曲，可远程造成metadata变更，借此触发越界写入（out of bounds write）。因此攻击者可以通过诱使用户在浏览器或蓝牙设备上播放音乐，借此发动dos或rce等攻击。
微软研究人员于4月发现这项漏洞已通知google chrome小组。google已在6月安全更新中发布chromeos 102.0.5005.125版本解决该漏洞。