Google lanceert Chrome 100 en verhelpt 28 kwetsbaarheden
Google heeft Chromeversie 100 gelanceerd waarmee onder andere 28 kwetsbaarheden in de browser worden verholpen. Het is ook de laatste Chromeversie met een onbeperkte user-agent-string. De maximale impact van de beveiligingslekken is beoordeeld als "high". Voor zover bekend is nog geen van de kwetsbaarheden gebruikt bij aanvallen.
In het geval van beveiligingslekken met het label "high" kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen.
Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Kwetsbaarheden met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
User-Agent
Tevens laat Google weten dat Chrome 100 de laatste versie van de browser is met een onbeperkte user agent-string. De user-agent-string, die met elk http-request wordt verstuurd, bevat informatie over onder andere het besturingssysteem van de gebruiker, gebruikte browser en versienummer, apparaatmodel en onderliggende architectuur. De combinatie van deze parameters en grote aantal mogelijke waardes zorgt ervoor dat internetgebruikers alleen aan de hand van hun user-agent zijn te identificeren.
Google stelt dat de user-agent het fingerprinten van gebruikers mogelijk maakt. Daarnaast kan het voor compatibiliteitsproblemen zorgen wanneer browsers verkeerde informatie via de user-agent doorgeven. Google is van plan om de informatie die via de user-agent wordt verstrekt geleidelijk te beperken. Websites zullen dan niet meer zien welke specifieke browserversie of besturingssysteem iemand gebruikt.
De test waarmee websites de volledig beperkte user-agent konden testen zal op 19 april eindigen. Daarna zal de user-agent steeds verder worden beperkt, zo laat Google weten. Updaten naar Chrome 100.0.4896.60 zal op de meeste systemen automatisch gebeuren.
Het totaal staat al 2346
https://www.cvedetails.com/product/15031/Google-Chrome.html?vendor_id=1224
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
