image

Google komt met noodpatch voor actief aangevallen zerodaylek in Chrome

dinsdag 6 juni 2023, 09:47 door Redactie, 4 reacties

Google heeft een noodpatch uitgebracht voor een actief aangevallen zerodaylek in Chrome. De kwetsbaarheid bevindt zich in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript en waarin met name vorig jaar al tal van andere zerodaylekken werden gevonden. Ook het eerste zerodaylek van dit jaar in Chrome, waarvoor in januari een update verscheen, bevond zich in V8.

De impact van de kwetsbaarheid, aangeduid als CVE-2023-3079, is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen.

Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden.

De kwetsbaarheid werd gevonden door Clément Lecigne, een onderzoeker van Googles Threat Analysis Group. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers. Vorig jaar werden in Chrome negen zerodaylekken verholpen, waarvan vijf in V8.

Google Chrome 114.0.5735.110 is beschikbaar voor Windows. Voor macOS en Linux verscheen versie 114.0.5735.106. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.

Reacties (4)
06-06-2023, 10:41 door Anoniem
Weer een lek in V8?
Gelukkig gebruik ik geen Chromium...

"Arctic Meteor" is een browser in ontwikkeling dat cross platform is, met tab isolatie en off-device tabs.
Zodra die bruikbaar is en publiek gemaakt word zal ik hem zeker willen uitproberen.
06-06-2023, 10:57 door Anoniem
Dankzij de Google repository onder mijn Linux al automatisch geïnstalleerd.
06-06-2023, 11:03 door Anoniem
Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem
Die zijn er al voor juni patch dinsdag. It fixed 38 security vulnerabilities across Windows operating systems and some other Microsoft software. 6 of the updates were marked as Critical.
15-06-2023, 08:06 door Anoniem
Door Anoniem: Dankzij de Google repository onder mijn Linux al automatisch geïnstalleerd.

Gelukkig gebuik ik wel Chrome en inderdaad al gepatched :-)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.