Google meldt actief misbruik van V8-kwetsbaarheid in Chrome
Aanvallers maken actief misbruik van een kwetsbaarheid in Chrome waar op 21 augustus een update voor verscheen. Het beveiligingslek, aangeduid als CVE-2024-7965, bevindt zich in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. Het afgelopen jaar zijn er al meerdere actief aangevallen kwetsbaarheden in V8 gevonden en gepatcht.
Op 21 augustus kwam Google met updates voor Chrome die een actief aangevallen V8-kwetsbaarheid verhielpen met het CVE-nummer CVE-2024-7971. Gisterenavond heeft Google het beveiligingsbulletin bijgewerkt en laat nu weten dat aanvallers ook misbruik van CVE-2024-7965 maken. Dit werd na het uitkomen van de updates bij Google gemeld. Details over de aanvallen zijn niet gegeven.
De impact van beide kwetsbaarheden is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
Beide kwetsbaarheden zijn verholpen in Google Chrome 128.0.6613.84/.85 voor macOS en Windows. Voor Linux is versie 128.0.6613.84 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is de update waarmee beide beveiligingslekken zijn verholpen op 22 augustus uitgekomen.
kies voor privacyvrienderlijke alternatieven.
kies voor privacyvrienderlijke alternatieven.
Misschien een overweging, alleen heeft issue hier helemaal niets mee te maken. Sterker nog, het is zelfs waarschijnlijk dat dit zelfde software defect ook in de meeste andere browsers voorkomt en ik ben dan ook benieuwd hoe snel de dan "privacy vriendelijke" browsers gepatched zijn voor dit defect. Als je daar nu eens een onderbouwde uitspraak over kon doen dan zou je reactie daadwerkelijk wat hebben bijgedragen!
kies voor privacyvrienderlijke alternatieven.
Crome had ik sowieso al niet…….
kies voor privacyvrienderlijke alternatieven.
Crome had ik sowieso al niet…….
kies voor privacyvrienderlijke alternatieven.
Crome had ik sowieso al niet…….
Concreter. Chrome en Edge gebruiken de V8 engine. Firefox hun SpiderMonkey engine en Safari de Niro engine (ook wel JavaScriptCore genoemd).
De V8 engine van Chrome is open source, dus kun je verwachten dat veel van die "privacy vriendelijke browsers" gekozen hebben voor de V8 engine en dus just ook deze bug bevatten.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.