Google waarschuwt opnieuw voor een actief aangevallen zerodaylek in Chrome en heeft updates uitgebracht om het probleem te. verhelpen. Het beveiligingslek bevindt zich in libvpx, een door Google en de Alliance for Open Media ontwikkelde videocodec-library. Bij het verwerken van een malafide VP8-bestand kan een heap buffer overflow ontstaan waardoor een aanvaller code binnen de browser kan uitvoeren.

De impact van de kwetsbaarheid, aangeduid als CVE-2023-5217, is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller bijvoorbeeld data van andere websites kan lezen of aanpassen en zo gevoelige informatie van gebruikers kan stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden. De zeroday werd door een onderzoeker van Googles Threat Analysis Group op 25 september gevonden. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers.

Google Chrome 117.0.5938.132 is beschikbaar voor macOS, Linux en Windows. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. Google kwam twee weken geleden ook al met updates voor een actief aangevallen zeroday.

Update

Google laat via X weten dat de kwetsbaarheid door een spywareleverancier is gebruikt.