Google beschermt Chrome-gebruikers tegen Spectre-aanvallen
Google heeft een nieuwe versie van Chrome uitgebracht die gebruikers tegen de twee Spectre-aanvallen moet beschermen. Ook beschikt de browser nu over een sterkere pop-upblocker. Chrome 64.0.3282.119 verhelpt in totaal 53 kwetsbaarheden waardoor een aanvaller in het ergste geval code binnen de context van de browser had kunnen uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen.
24 kwetsbaarheden die in Chrome 64 zijn gepatcht werden gerapporteerd door externe onderzoekers. Google betaalde hen 22.000 dollar, hoewel het uiteindelijke bedrag hoger zal liggen omdat nog niet alle beloningen zijn vastgesteld. De bescherming tegen de Spectre-aanvallen, die misbruik van kwetsbaarheden in processors maken, moet voorkomen dat een aanvaller via JavaScript informatie uit het geheugen van de computer kan stelen, zoals wachtwoorden.
Verder introduceert Chrome 64 een sterkere pop-upblocker. Twintig procent van de klachten die Chrome-desktopgebruikers doen gaat over ongewenste content. Het gaat dan bijvoorbeeld om third-party websites die vermomd zijn als een speelknop of transparante overlays op websites die alle clicks afvangen en een nieuwe tab of nieuw venster openen.
Dergelijke methodes worden geregeld door scamsites en voor de verspreiding van adware en andere ongewenste software gebruikt. Om gebruikers hier tegen te beschermen zal de pop-upblocker in Chrome 64 nu het openen van nieuwe tabs of vensters via automatische redirects en andere misleidende manieren tegengaan. Updaten naar Chrome 64 zal op de meeste systemen automatisch gaan.
bij deze wil ik dit even vermelden
bij deze wil ik dit even vermelden
M.a.w. je kunt wel een browser hebben die je beschermd, echter als je hardware niet is geupdate tegen Spectre kunnen ze
wellicht dit lek misbruiken buiten een browser om. Veel mensen gebruiken toch ook meerdere browsers tegenlijk of naast elkaar.
En zover ik alles lees moet men een BIOS upgrade hebben of microcode om je tegen Spectre te beschermen.
Of zit ik ernaast?
Quoting Google:
These mitigations are enabled by the --untrusted-code-mitigations flag:
o Masking of addresses before memory accesses in WebAssembly and asm.js to ensure that speculatively executed memory loads cannot access memory outside of the WebAssembly and asm.js heaps.
o Masking of the indices in JIT code used to access JavaScript arrays and strings in speculatively executed paths to ensure speculative loads cannot be made with arrays and string to memory addresses that should not accessible to JavaScript code.
M.a.w. je kunt wel een browser hebben die je beschermd, echter als je hardware niet is geupdate tegen Spectre kunnen ze
wellicht dit lek misbruiken buiten een browser om. Veel mensen gebruiken toch ook meerdere browsers tegenlijk of naast elkaar.
En zover ik alles lees moet men een BIOS upgrade hebben of microcode om je tegen Spectre te beschermen.
Of zit ik ernaast?
Klopt, Spectre is een kwetsbaarheid in de hardware. Maar omdat vervangen daarvan lang gaat duren, worden er nu op alle lagen er boven updates toegepast om het zo lastig mogelijk te maken om de kwetsbaarheid te misbruiken.
Dat is waarom er BIOS/UEFI updates zijn, daarboven op OS-updates en daarboven op updates in voor de hand liggende toepassingen: de browsers.
Voor Edge/Safari zijn al eerder soortgelijke updates uitgebracht: https://blogs.windows.com/msedgedev/2018/01/03/speculative-execution-mitigations-microsoft-edge-internet-explorer/#YXTAfzsS1vb6xheG.97
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
