Google Chrome opnieuw kwetsbaar door "patch-gap"
Google Chrome is opnieuw kwetsbaar wegens een "patch-gap" in de JavaScript-engine die de browser gebruikt, zo stelt onderzoeker István Kurucsai van securitybedrijf Exodus Intelligence. Er is sprake van een patch-gap wanneer er een beveiligingslek in opensourcesoftware is gepatcht, maar deze patch nog niet is uitgerold onder de programma's die van de opensourcesoftware gebruikmaken.
In het geval van Google Chrome speelt het probleem bij de V8 JavaScript-engine waar de browser gebruik van maakt. Een kwetsbaarheid in dit opensource-onderdeel werd halverwege augustus gepatcht. De oplossing voor Google Chrome zal later vandaag pas verschijnen. Aanvallers kunnen het tijdsvenster tussen de opensourcepatch en Chrome-patch misbruiken om een exploit te ontwikkelen en zo gebruikers aan te vallen.
Via de kwetsbaarheid in de JavaScript-engine kan een aanvaller willekeurige code uitvoeren. Om het onderliggende systeem over te nemen is er echter een tweede kwetsbaarheid vereist om uit de sandbox van Chrome te breken. Gebruikers kunnen in afwachting van de update het uitvoeren van JavaScript in de browser uitschakelen. In april ontdekte Kurucsai ook al een patch-gap dat door de V8-engine werd veroorzaakt en eind augustus stelde ook Google dat er door de JavaScript-engine een patch-gat was ontstaan.
Zoals menige software leveranciers.
En er komt vandaag een update (geeft het artikel aan).
Wil je zeuren om te zeuren?
Omdat ze dat alleen bij concurenten doen om deze zo een slechte naam proberen te bezorgen.
Wijs vooral naar een ander en de rest van de wereld krijgt een middelvinger bij Google.
Is er een probleem dan? Ik lees "Via de kwetsbaarheid in de JavaScript-engine kan een aanvaller willekeurige code uitvoeren. Om het onderliggende systeem over te nemen is er echter een tweede kwetsbaarheid vereist om uit de sandbox van Chrome te breken." dus ik snap deze prioriteitstelling van Google best wel.
Dat hebben ze gedaan (want die V8 JavaScript engine is van Google).
https://v8.dev/
De goegemeente denkt dus op het echte webpagina-adres te zitten.
Blokkeren van iFrame gelanceerde ads is zo flink moeilijker.
Winst-winst situatie voor de mega adboer Google.
Voor de ranking moet dus ieder aan de AMP.
Wat een "floepers", die Google Bijbuigers.
Jodocus Oyevaer
De eventuele AMP HTML pagina is daar in te zien.
Google zal ons steeds vaker door coderingshoepeltjes laten springen. Zoveel is wel zeker.
Monocultures a la Google zijn a priori kwetsbaar.
Alle cyber-vingers wijzen immers dan maar Kw*ty*.
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
