Google verhelpt kritiek Chrome-lek dat remote code execution mogelijk maakt
Google heeft een kritieke kwetsbaarheid in Chrome verholpen waardoor een aanvaller op afstand code op het systeem kan uitvoeren. Een gebruiker hoeft hiervoor alleen een gecompromitteerde of besmette website te bezoeken of een geïnfecteerde advertentie te zien krijgen. Er is geen verdere interactie vereist. Dergelijke aanvallen worden ook wel drive-by downloads genoemd. Het komt zelden voor dat Google een kritiek lek in Chrome verhelpt. Dit jaar werd één keer eerder een kritieke kwetsbaarheid in Chrome verholpen. Dat gebeurde eind februari.
Het nu verholpen beveiligingsprobleem, aangeduid als CVE-2023-2721, bevindt zich in het "Navigation" onderdeel van de browser. De kwetsbaarheid kan leiden tot een use after free waardoor remote code execution mogelijk is. Het beveiligingslek werd gevonden en gerapporteerd door onderzoeker Guang Gong van securitybedrijf Qihoo 360. Gong ontdekte in het verleden vaker kritieke kwetsbaarheden in Chrome. Welke beloning de onderzoeker voor zijn bugmelding krijgt is nog niet bekend.
Google Chrome 113.0.5672.126/.127 is beschikbaar voor Windows, voor Linux en macOS is versie 113.0.5672.126 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.
Weet je wat, dan doen we het meteen in Java, dat maakt het cross-platform EN robuust tegen al dit soort aanvallen.
Dan kan ik ook direct die features inbouwen die ik wou: selfcontained, cookie isolatie, glorified bookmarks, etc...
Als het goed is zit er al een JavaScript engine in Java, dus hoef ik die niet zelf te maken.
Verder heeft Java ook een TLS library, kan ik me ook aan het "Don't roll your own" principe houden.
Meest lastige is natuurlijk een goede naam verzinnen... :)
Hoe wil je tegen de stroom van monopolistische chromium-achtige browsertjes inzwemmen?
Vrijwel alle browsers leunen op dezelfde engine. Behalve een niche-gevalletje als Beaker p2p browser e.d.
Al gebrobeerd met ungoogled chromium, maar dan zit je nog met dezelfde engine.
Firefox op Ubuntu met een paar essentiele extenties heeft die ook .
Elke browser is een trackingtool bij uitstek, ja ook de Tor browser.
Wil je dat niet, zul je het Internet niet op moeten gaan.
Want als het bijv. van de huidige CDA-leden afhangen kan, zal elke toetsaanslag, die je ooit verricht,
moeten worden vastgelegd en door AI worden be-algorythmizeerd, gefactcheckt en eventueel verwijderd.
Het helpt zo de analoge wereld niet af van misbruik en corruptie en terreur, maar ja.
we naderen nu eenmaal,wa t zij noemen de Apocalyptische jaren der grote verdrukking.
Wrang dat ze er zelf het hardst aan meehelpen, dit rijk van de anti-christ mogelijk te maken.
De huidige Big Brothers (de mannenbroeders van de monolithen) beschouwen dit als hun Deus Vult;
ga daar dus vooral niet tegenin, al zou ik het toejuichen.
#web-save-to-pocket
Hoe wil je tegen de stroom van monopolistische chromium-achtige browsertjes inzwemmen?
Vrijwel alle browsers leunen op dezelfde engine. Behalve een niche-gevalletje als Beaker p2p browser e.d.
Al gebrobeerd met ungoogled chromium, maar dan zit je nog met dezelfde engine.
Firefox op Ubuntu met een paar essentiele extenties heeft die ook .
Elke browser is een trackingtool bij uitstek, ja ook de Tor browser.
Wil je dat niet, zul je het Internet niet op moeten gaan.
<SNIP>
#web-save-to-pocket
- Chromium (google, edge, brave, etc)
- Gecko (Firefox, tor browser, pale moon, etc)
- Webkit (Safari)
Ik was van plan om de browser niet te veel "features" te geven, maar enkel wat nodig is.
Daar sprenkel ik dan even wat echte privacy overheen, naast de security die er inherent al is.
Natuurlijk kan je tracking niet helemaal stoppen, maar knap lastig maken kan wel.
Verder is je verhaal één grote warbol van feiten samenzweringen (of diens theoriën).
Daar kan ik helaas geen concrete vraag, tip of opmerking meer uit halen.
Dat het de slechte kant op gaat ben ik het in ieder geval wel mee eens.
Weet je wat, dan doen we het meteen in Java, dat maakt het cross-platform EN robuust tegen al dit soort aanvallen.
Dan kan ik ook direct die features inbouwen die ik wou: selfcontained, cookie isolatie, glorified bookmarks, etc...
Als het goed is zit er al een JavaScript engine in Java, dus hoef ik die niet zelf te maken.
Verder heeft Java ook een TLS library, kan ik me ook aan het "Don't roll your own" principe houden.
Meest lastige is natuurlijk een goede naam verzinnen... :)
Er was ooit HotJava , dat was precies dat - browser geschreven in Java , door Sun (natuurlijk, toen)
Net als alles in Java - ondanks de JIT beloften - erg traag.
Hoe wil je tegen de stroom van monopolistische chromium-achtige browsertjes inzwemmen?
Vrijwel alle browsers leunen op dezelfde engine. Behalve een niche-gevalletje als Beaker p2p browser e.d.
Al gebrobeerd met ungoogled chromium, maar dan zit je nog met dezelfde engine.
Firefox op Ubuntu met een paar essentiele extenties heeft die ook .
Elke browser is een trackingtool bij uitstek, ja ook de Tor browser.
Wil je dat niet, zul je het Internet niet op moeten gaan.
<SNIP>
#web-save-to-pocket
- Chromium (google, edge, brave, etc)
- Gecko (Firefox, tor browser, pale moon, etc)
- Webkit (Safari)
Ik was van plan om de browser niet te veel "features" te geven, maar enkel wat nodig is.
Daar sprenkel ik dan even wat echte privacy overheen, naast de security die er inherent al is.
Natuurlijk kan je tracking niet helemaal stoppen, maar knap lastig maken kan wel.
Verder is je verhaal één grote warbol van feiten samenzweringen (of diens theoriën).
Daar kan ik helaas geen concrete vraag, tip of opmerking meer uit halen.
Dat het de slechte kant op gaat ben ik het in ieder geval wel mee eens.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
