Apple vindt kritiek Chrome-lek dat remote code execution mogelijk maakt
Apple heeft een kritieke kwetsbaarheid in Google Chrome gevonden waardoor een aanvaller willekeurige code op systemen kan uitvoeren en die in het ergste geval kan overnemen. Een gebruiker hoeft hiervoor alleen een gecompromitteerde of besmette website te bezoeken of een besmette advertentie te zien krijgen. Er is geen verdere interactie vereist. Dergelijke aanvallen worden ook wel een drive-by download genoemd. Google heeft updates uitgebracht om het probleem te verhelpen.
Het beveiligingslek (CVE-2024-10487) bevindt zich in Dawn, een open source en crossplatform implementatie van de WebGPU-standaard. De kwetsbaarheid zorgt voor een 'out-of-bounds write' wat het mogelijk maakt voor een aanvaller om zijn code op het systeem van de gebruiker uit te voeren. De kwetsbaarheid werd op 23 oktober door het Apple Security Engineering and Architecture (SEAR) aan Google gerapporteerd. De beloning die Apple hiervoor zal ontvangen is nog niet bekendgemaakt. Ook verdere details over de kwetsbaarheid zijn niet door Google gegeven.
Apple heeft in het verleden vaker kwetsbaarheden in Chrome gevonden en aan Google gerapporteerd. Het gaat om CVE-2023-4072, CVE-2023-4863 en CVE-2023-3598. Google stelde eerder dat CVE-2023-4863 door een commerciële spywareleverancier was gebruikt. In het geval van kritieke kwetsbaarheden probeert Google de beschikbare update binnen dertig dagen onder alle Chrome-gebruikers uit te rollen. Details kunnen vervolgens na zestig dagen openbaar worden gemaakt.Google Chrome 130.0.6723.91/.92 is beschikbaar voor Windows en macOS. Voor Linux is versie 130.0.6723.92 verschenen.
Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.
Zojuist, 10:30 uur, voor Chromium de update naar v.130.0.6723.69. En nu lees ik hier het bericht van 10:40 uur dat v.130.0.6723.92 actueel moet zijn om de kwetsbaarheid verholpen te zien.
Ach, ik zie het wel weer binnenlopen in Bijwerkbeheer (Linux).
I.t.t. 3 jaar geleden is de update interval naar een nieuwe Chromium vrij kort.
#laufer
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
