Google heeft een nieuwe versie van Chrome uitgebracht waarin maar liefst twee ernstige kwetsbaarheden zijn verholpen waardoor een aanvaller het onderliggende systeem had kunnen overnemen. De beveiligingslekken bevonden zich in de wachtwoordmanager en het bluetooth-onderdeel van Chrome.

Veel details over de kwetsbaarheden zijn nog niet bekendgemaakt. In het geval van het lek in de wachtwoordmanager, die door Sergei Glazunov van Google werd gevonden, ging het om een heap buffer overflow waardoor het uitvoeren van willekeurige code op het systeem mogelijk was. Het bluetooth-lek betrof een use after free. Dit lek werd ontdekt door Gengming Liu en Jianyu Chen van Tencent Keen Security Lab. Google beloonde de onderzoekers voor hun bugmelding met 20.000 dollar. In beide kwetsbaarheden was alleen het bezoeken van een speciaal geprepareerde webpagina voldoende om de aanvaller willekeurige code uit te laten uitvoeren.

In tegenstelling tot andere browsers worden ernstige kwetsbaarheden in Chrome zelden door externe onderzoekers gevonden. Dit jaar gaat het echter om een "recordaantal". Tot nu toe staat de teller op vijf "critical" kwetsbaarheden. Vorig jaar waren het vier. Van 2014 tot en met 2017 werden acht ernstige kwetsbaarheden aan Google gerapporteerd, waarbij er in 2016 geen lekken met een dergelijke impact werden gevonden.

Met Chrome 79.0.3945.79 zijn in totaal 51 kwetsbaarheden verholpen. Naast de twee ernstige lekken gaat het ook om kwetsbaarheden waardoor een aanvaller code binnen de context van de browser had kunnen uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Updaten naar de nieuwste versie zal op de meeste systemen automatisch gebeuren.