Nieuws
image

Google rolt update uit voor actief aangevallen zerodaylek in Chrome

vrijdag 10 mei 2024, 10:47 door Redactie, 3 reacties

Google heeft een beveiligingsupdate uitgerold voor een actief aangevallen zerodaylek in Chrome. Het is de derde zeroday die tegen gebruikers is ingezet en dit jaar door het techbedrijf is verholpen. Het beveiligingslek, aangeduid als CVE-2024-4671, bevindt zich in het 'Visuals' onderdeel van de browser.

De impact van de kwetsbaarheid, is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden. De kwetsbaarheid werd door een niet nader genoemde onderzoeker gerapporteerd.

Google Chrome 124.0.6367.201/.202 is beschikbaar voor macOS en Windows. Voor Linux is versie 124.0.6367.201 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.

Reacties (3)
Reageer met quote
10-05-2024, 13:40 door Anoniem
Zijn de meeste security patches geen zero-day patches? Of is het omdat deze actief word misbruikt dat het nieuwswaardig is?
Reageer met quote
10-05-2024, 13:59 door Anoniem
Door Anoniem: Zijn de meeste security patches geen zero-day patches? Of is het omdat deze actief word misbruikt dat het nieuwswaardig is?
"De term zero-day exploit verwijst naar de tijd die de software-ontwikkelaar heeft gehad om het beveiligingslek te dichten. Het lek is bij de ontwikkelaar nog nul dagen bekend sinds de aanvaller het heeft ontdekt. Bij een "zero-day"-aanval heeft de ontwikkelaar dus nog geen beveiligings-update kunnen maken, waardoor het gat bij alle gebruikers nog open is."
https://nl.wikipedia.org/wiki/Zero-day_exploit
Reageer met quote
10-05-2024, 18:37 door Anoniem
Door Anoniem: Zijn de meeste security patches geen zero-day patches? Of is het omdat deze actief word misbruikt dat het nieuwswaardig is?

Nee.

Het is een zero day als het (al) bekend is/gebruikt wordt door de bad guys, en de developers dus "nul dagen" tijd hebben (/gehad heeft) om te reageren.

security patches die het resultaat zijn van eigen audits, white hat notifications, bug bounty winnaars noem je geen 'zero day' .
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search