Google verhelpt opnieuw actief aangevallen kwetsbaarheid in Chrome
Gebruikers van Google Chrome zijn opnieuw het doelwit van aanvallen geworden. Voor de vierde keer deze maand is Google gekomen met een update voor een actief aangevallen kwetsbaarheid waar op het moment van de aanvallen geen patch voor beschikbaar was. Net als de actief aangevallen lekken die op 13 en 15 mei werden gepatcht gaat het om een kwetsbaarheid in V8, aangeduid als CVE-2024-5274. Dit is de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript.
De impact van de kwetsbaarheid is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.
Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden. De kwetsbaarheid werd op 20 mei door twee onderzoekers van Google zelf gevonden en gemeld.
Details over de aanvallen zijn niet gegeven. Het totaal aantal beveiligingslekken dat actief tegen Chrome-gebruikers is ingezet voordat een patch beschikbaar was komt dit jaar daarmee op vijf. Tijdens de afgelopen Pwn2Own-wedstrijd in Vancouver demonstreerden onderzoekers exploits voor onbekende kwetsbaarheden in Chrome, maar die zijn voor zover bekend niet gebruikt voor het actief aanvallen van gebruikers. Hieronder de actief aangevallen kwetsbaarheden die dit jaar door Google in Chrome zijn gepatcht.
- CVE-2024-0519 16 januari
- CVE-2024-4671 09 mei
- CVE-2024-4761 13 mei
- CVE-2024-4947 15 mei
- CVE-2024-5274 23 mei
Google Chrome 125.0.6422.112/.113 is beschikbaar voor macOS en Windows. Voor Linux is versie 125.0.6422.112 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!