Google heeft wederom een beveiligingsupdate uitgebracht wegens een actief aangevallen zerodaylek in Chrome. Eerder was het raak in februari, maart, april, juli en augustus. De nieuwste kwetsbaarheid bevindt zich in Mojo, een onderdeel van de browser voor het starten en beheren van processen. Het onderdeel bleek data onvoldoende te valideren, maar verdere details zijn niet gegeven.

De impact van de kwetsbaarheid (CVE-2022-3075) is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden. Het techbedrijf werd op 30 augustus door een anonieme onderzoeker over het probleem ingelicht.

Google Chrome 105.0.5195.102 is beschikbaar voor macOS, Linux en Windows. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Microsoft heeft de kwetsbaarheid ook verholpen in Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd.

Google verhielp vorig jaar een recordaantal zerodaylekken in Chrome. Zestien keer werden er patches uitgerold. Volgens het techbedrijf komt de toename van het aantal zeroday-aanvallen door het verdwijnen van Adobe Flash Player, het toegenomen marktaandeel van op Chromium-gebaseerde browsers en dat onderzoekers beter worden in het detecteren van dergelijke aanvallen.