Kritieke kwetsbaarheid in Google Chrome maakt remote code execution mogelijk
Google heeft een nieuwe versie van Chrome uitgebracht die meerdere kwetsbaarheden verhelpt, waaronder een kritiek beveiligingslek waardoor een aanvaller op afstand willekeurige code kan uitvoeren met de rechten van de ingelogde gebruiker. Google is van plan om Chrome 84 binnen dertig dagen onder alle Chrome-gebruikers uit te rollen.
De kwetsbaarheid is aanwezig in "background fetch", een onderdeel van de browser dat in de achtergrond grote bestanden zoals films, podcasts en levels van games kan downloaden. Technische details over het beveiligingslek zijn nog niet gegeven, behalve dat het lek gebruikt kan worden om een heap buffer overflow te veroorzaken. Vervolgens is het mogelijk om willekeurige code uit te voeren.
Het beveiligingslek werd gevonden door onderzoekers Leecraso en Guang Gong van 360 Alpha Lab, die het probleem op 8 juli aan Google rapporteerden. In april wisten beide onderzoekers ook al een kritieke kwetsbaarheid in Chrome te vinden. In tegenstelling tot andere browsers worden kritieke kwetsbaarheden in Chrome zelden door externe onderzoekers gevonden.
Vorig jaar ging het om een "recordaantal" van vijf "critical" kwetsbaarheden. Het jaar daarvoor waren het er vier. Van 2014 tot en met 2017 werden acht ernstige kwetsbaarheden aan Google gerapporteerd, waarbij er in 2016 geen lekken met een dergelijke impact werden gevonden. Dit jaar staat de teller op drie.
Naast het kritieke beveiligingslek zijn er ook 37 andere kwetsbaarheden in de browser met een lagere impact opgelost. Het ging onder andere om beveiligingslekken met het stempel "high", waardoor een aanvaller code binnen de context van de browser had kunnen uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.
Http-downloads
Chrome 84 introduceert ook verschillende nieuwe features. Zo zal de desktopversie van de browser gebruikers voortaan waarschuwen wanneer ze op een https-website bestanden via http downloaden. Uiteindelijk zal Chrome "onveilige downloads" helemaal blokkeren. Met de lancering van Chrome 84 zullen de eerste waarschuwingen verschijnen, gevolgd door een volledige blokkade in Chrome 88.
Google Chrome beschikt over een automatische updatefunctie. In het geval van een kritische kwetsbaarheid probeert Google alle Chrome-gebruikers binnen dertig dagen naar de laatste versie te updaten. Gebruikers kunnen ook door "chrome://settings/help" in de adresbalk in te voeren Chrome 84.0.4147.89 downloaden.
een nieuwe versie die meteen allerlei nieuwe functionaliteit of verlies van bestaande functionaliteit meebrengt.
Je moet dan soms een oude browser bij de hand houden om nog te kunnen wat je wilt kunnen (bijvoorbeeld het
configureren van een wat ouder apparaat wat een web interface heeft).
Sterker nog, dit houdt sommige mensen tegen om ueberhaupt updates te doen. Vervelende ervaringen uit het
verleden kunnen heel lang een stempel zetten op het toekomstig gedrag.
Daar zouden browsermakers wel eens wat meer bij mogen stilstaan, in plaats van zich voortdurend de messias te
voelen in het te volgen traject van de wereld.
Je moet dan soms een oude browser bij de hand houden om nog te kunnen wat je wilt kunnen (bijvoorbeeld het configureren van een wat ouder apparaat wat een web interface heeft).
.
Je moet dan soms een oude browser bij de hand houden om nog te kunnen wat je wilt kunnen (bijvoorbeeld het configureren van een wat ouder apparaat wat een web interface heeft).
.
Dat soort gevallen zijn typisch embedded systeempjes . Het zijn bijvoorbeeld out-of-band management kaarten in servers, remote powerswitches (stekkerblokken voor in een datacenter, waarop je kunt inloggen om de stroom aan/uit te schakelen).
Vast ook dingen als gebouwbeheer (koeling, verwarming e.d.) .
Soms _eisen_ ze een java plugin . Of een SSL versie/algorithmes die moderne browsers niet meer willen doen.
En dan is het irritant dat je een VM met een oude browser moet bijhouden om zo af toe iets op z'n ding te kunnen doen.
Huh? Wat hebben grafen hier nou weer mee te maken? https://en.m.wikipedia.org/wiki/Graph_theory
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
