Google rolt update uit voor actief aangevallen zerodaylek in Chrome
Google heeft voor de elfde keer dit jaar een actief aangevallen zerodaylek in Chrome gepatcht. Het beveiligingslek, aangeduid als CVE-2021-37973, is aanwezig in Portals. Dit is een API die ervoor zorgt dat pagina's op een bezochte website sneller worden geladen. De impact van de kwetsbaarheid is als "high" beoordeeld.
Het gaat in dit geval om kwetsbaarheden waardoor een aanvaller code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Het beveiligingslek is op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
Details over de waargenomen aanvallen, zoals het aantal slachtoffers, wanneer de aanvallen plaatsvonden en hoe, zijn niet door Google gegeven. De Google Threat Analysis Group ontdekte het zerodaylek. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers.
Gebruikers krijgen het advies om te updaten naar Google Chrome 94.0.4606.61, die beschikbaar is voor Linux, macOS en Windows. Dit zal op de meeste systemen automatisch gebeuren. Microsoft Edge Chromium is net als Chrome op de Chromium-browser gebaseerd. Microsoft heeft vrijdag ook een update voor de eigen browser uitgerold.
Hieronder een overzicht van de elf zerodaylekken in Google Chrome en wanneer ze zijn verholpen. Recentelijk bleek dat Google dit jaar een recordaantal zerodays heeft geregistreerd.
- CVE-2021-21148 - 4 februari
- CVE-2021-21166 - 2 maart
- CVE-2021-21193 - 12 maart
- CVE-2021-21220 - 13 april
- CVE-2021-21224 - 20 april
- CVE-2021-30551 - 9 juni
- CVE-2021-30554 - 17 juni
- CVE-2021-30563 - 15 juli
- CVE-2021-30632 - 13 september
- CVE-2021-30633 - 13 september
- CVE-2021-37973 - 24 september
Update
In eerste instantie werd gemeld dat Microsoft nog met een update voor Edge moest komen, maar die is vrijdag uitgebracht. Dit is aangepast in het artikel.
En zo zie je weer hoe alle andere partijen gewoon snel hun updates kunnen uitrollen maar het wéér Microsoft is die erachteraan huppelt en is staat blijkt om het prima werkende open source Chromium, dat de basis vormt voor hun Edge browser, om zeep te helpen. Microsoft blijkt wederom het grootste gevaar voor de veiligheid van de gebruiker. Microsoft is de belichaming van het kwaad, een van de vier ruiters van de Apocalyps (ik vermoed het witte paard).
Dan moet ik toegeven dat de vertraging in dit geval meevalt. (Met dank aan het superieure updatemechanisme dat onderdeel is van Chromium).
Google heeft snelle updates maar het leek erop dat Microsoft Edge (veel) later geüpdatet zou worden maar dat lijkt mee te vallen.
#timewarp®
Maar er werd gelijk met de update weer een script in mijn Tamper Monkey extensie eventjes verwijderd.
De vorige keer was ik even al mijn user scripts kwijt. Gelukkig elders opgeslagen.
Zeker omdat het niet strookte met hun gebruikscode of ik te slim voor m'n schoenen ben op javascript gebied.
Dan is het ineens gevaarlijk, zo'n eigen userscript van 1 gebruiker, zoals ik.
Man, man, wat een zeikerds.
Die onverdraagzame onvrijheid begint me steeds meer op te vallen. Zeuren om een account foto.
Zeuren om je geo-locatie. Zeuren omdat je bijna niet meer onder een nick het net op kan.
Ik hunker naar de dagen van vroeger van tweaken en resource engineeren.
Torren zonder op intel.io's blacklists te komen en gebanned te worden in de cloud van de monopolist.
Wordt het online onvrijer en onverdraagzamer, of ben ik dat alleen maar, die dit ervaar?
#hackthembeforetheyhackyou
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
