Gebruikers van Google Chrome opnieuw doelwit van zeroday-aanval
Gebruikers van Google Chrome zijn opnieuw het doelwit van een zeroday-aanval geworden. Google heeft een beveiligingsupdate uitgebracht die ook een kritieke kwetsbaarheid verhelpt waardoor aanvallers systemen op afstand kunnen overnemen. Alleen het bezoeken van een malafide of gecompromitteerde website of te zien krijgen van een besmette advertentie is voldoende. Details over de waargenomen aanvallen, die Google zelf ontdekte, zijn niet door het techbedrijf gegeven.
Dit jaar heeft Google al meerdere zerodaylekken in Chrome verholpen die al voor het uitkomen van de update werden misbruikt. Eerder was het raak in februari, maart, april en juli. De nieuwste zeroday (CVE-2022-2856) werd vorige maand door onderzoekers van Googles Threat Analysis Group gevonden. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers.
De impact van de kwetsbaarheid is beoordeeld als "high". Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
Een andere kwetsbaarheid in de browser maakt het echter wel mogelijk om systemen op afstand over te nemen. Volgens Google wordt er van dit kritieke beveiligingslek, aangeduid als CVE-2022-2852, voor zover bekend geen misbruik gemaakt. Ook deze kwetsbaarheid werd door Google zelf gevonden. Hoewel kritieke beveiligingslekken weinig voorkomen in Chrome staat de teller dit jaar al op zes, wat meer is dan in voorgaande jaren. In het geval van kritieke kwetsbaarheden probeert Google de beschikbare update binnen dertig dagen onder alle Chrome-gebruikers uit te rollen. Details kunnen vervolgens na zestig dagen openbaar worden gemaakt.
Naast het aangevallen zerodaylek en de kritieke kwetsbaarheid verhelpen Chrome 104.0.5112.101 voor Mac en Linux en Chrome 104.0.5112.102/101 voor Windows negen andere kwetsbaarheden. Updaten naar de nieuwste Chrome-versie zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren.
https://www.cvedetails.com/product/15031/Google-Chrome.html?vendor_id=1224
We weten dat het pn*wed is vanwege het onbelemmerd data slurpen hand in foot met overheden en toch gaan we zo door.
Firefox, steeds minder gebruikers, tails en tor hoeveel nog?
Crypto niet echt eindgebruiker veilig, info manipulatie via fact-checking en AI manipulatie. Cloud obstructie. Overheid aan de kant van de institutionele beleggers en beslist niet werkend in dienst van hun onderdanen, die ook digitaal onderdanig dienen te blijven, anders word je gedemoniseerd of uitgekotst door de gemeenschap, waarvan er veel collaboreren met de monopolistische monsters.
Maar ja de waarheid wil steeds minder gehoord zijn.
#obserwator
P.S. mijn digitaal besteld pakje heeft vertraging, vul de code in, betaal en het deurtje van het kluisje gaat open. Zo gaat het in het nieuwe Amerika in Centraal Europa thans. Voorland voor ons?
Drukt de kosten niet want je betaalt het transport aar het kluisje bovenop de prijs, die na elke klik stijgt, want dan wil je het wel graag hebben, denkt de graaier. Koop dan via de reguliere winkel, maar die hebben nou net dat ene kabeltje niet, of voorraad beperkt.
Je digitale wereld wordt voor jou gemaakt conform je opvolgingsbereidheid.
Nu kan iedereen weer Google gaan bashen i.p.v Microsoft. ;-)
Firefox komt er niet veel beter vanaf: https://www.cvedetails.com/product/3264/Mozilla-Firefox.html?vendor_id=452
Alle serieuze software leveranciers gebruiken al sinds jaar en dag tools om hun code te scannen/fuzzen - goed, maar geen garantie op 100% onkwetsbare code.
Security is een wapenwedloop. Tools, processen en slimme lui aan de verdedigende kant en andere tools en slimme-lui-die-minstens- zoveel-kunnen-verdienen aan de andere kant.
Doe je niet mee, doe je straks helemaal niet meer mee.
Ach, laate me raden. WEF zit er weer achter? Gesteeund door MSM? ROFFLMAO!
Dat klopt.
Wat niet klopt is de gedachte dat "controleren met tools" een 100% bugvrij resultaat oplevert .
Het marktaandeel van die prutsers moet omlaag en hoe sneller hoe liever.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
