Aanvallers maken misbruik van een kwetsbaarheid in Google Chrome waarvoor afgelopen september een beveiligingsupdate verscheen, zo meldt de Amerikaanse overheid. Google laat in de beveiligingsbulletins altijd weten of het bekend is met misbruik van een kwetsbaarheid, maar dat was in het geval van CVE-2023-4762 niet zo. Het beveiligingslek bevindt zich in V8, de JavaScript-engine van Chrome waarin de afgelopen jaren meerdere kwetsbaarheden zijn gevonden, die ook bij aanvallen zijn gebruikt.

De impact van de kwetsbaarheid is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security geeft geen details over de aanvallen. Chrome beschikt over een automatische updatefunctie, waardoor bekende kwetsbaarheden over het algemeen slechts korte tijd zijn te misbruiken.