Google beschermt Chrome-gebruikers tegen Spectre-aanvallen
Google heeft een nieuwe versie van Chrome uitgebracht die gebruikers tegen de twee Spectre-aanvallen moet beschermen. Ook beschikt de browser nu over een sterkere pop-upblocker. Chrome 64.0.3282.119 verhelpt in totaal 53 kwetsbaarheden waardoor een aanvaller in het ergste geval code binnen de context van de browser had kunnen uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen.
24 kwetsbaarheden die in Chrome 64 zijn gepatcht werden gerapporteerd door externe onderzoekers. Google betaalde hen 22.000 dollar, hoewel het uiteindelijke bedrag hoger zal liggen omdat nog niet alle beloningen zijn vastgesteld. De bescherming tegen de Spectre-aanvallen, die misbruik van kwetsbaarheden in processors maken, moet voorkomen dat een aanvaller via JavaScript informatie uit het geheugen van de computer kan stelen, zoals wachtwoorden.
Verder introduceert Chrome 64 een sterkere pop-upblocker. Twintig procent van de klachten die Chrome-desktopgebruikers doen gaat over ongewenste content. Het gaat dan bijvoorbeeld om third-party websites die vermomd zijn als een speelknop of transparante overlays op websites die alle clicks afvangen en een nieuwe tab of nieuw venster openen.
Dergelijke methodes worden geregeld door scamsites en voor de verspreiding van adware en andere ongewenste software gebruikt. Om gebruikers hier tegen te beschermen zal de pop-upblocker in Chrome 64 nu het openen van nieuwe tabs of vensters via automatische redirects en andere misleidende manieren tegengaan. Updaten naar Chrome 64 zal op de meeste systemen automatisch gaan.
bij deze wil ik dit even vermelden
bij deze wil ik dit even vermelden
M.a.w. je kunt wel een browser hebben die je beschermd, echter als je hardware niet is geupdate tegen Spectre kunnen ze
wellicht dit lek misbruiken buiten een browser om. Veel mensen gebruiken toch ook meerdere browsers tegenlijk of naast elkaar.
En zover ik alles lees moet men een BIOS upgrade hebben of microcode om je tegen Spectre te beschermen.
Of zit ik ernaast?
Quoting Google:
These mitigations are enabled by the --untrusted-code-mitigations flag:
o Masking of addresses before memory accesses in WebAssembly and asm.js to ensure that speculatively executed memory loads cannot access memory outside of the WebAssembly and asm.js heaps.
o Masking of the indices in JIT code used to access JavaScript arrays and strings in speculatively executed paths to ensure speculative loads cannot be made with arrays and string to memory addresses that should not accessible to JavaScript code.
M.a.w. je kunt wel een browser hebben die je beschermd, echter als je hardware niet is geupdate tegen Spectre kunnen ze
wellicht dit lek misbruiken buiten een browser om. Veel mensen gebruiken toch ook meerdere browsers tegenlijk of naast elkaar.
En zover ik alles lees moet men een BIOS upgrade hebben of microcode om je tegen Spectre te beschermen.
Of zit ik ernaast?
Klopt, Spectre is een kwetsbaarheid in de hardware. Maar omdat vervangen daarvan lang gaat duren, worden er nu op alle lagen er boven updates toegepast om het zo lastig mogelijk te maken om de kwetsbaarheid te misbruiken.
Dat is waarom er BIOS/UEFI updates zijn, daarboven op OS-updates en daarboven op updates in voor de hand liggende toepassingen: de browsers.
Voor Edge/Safari zijn al eerder soortgelijke updates uitgebracht: https://blogs.windows.com/msedgedev/2018/01/03/speculative-execution-mitigations-microsoft-edge-internet-explorer/#YXTAfzsS1vb6xheG.97
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.