Google dicht ernstig beveiligingslek in Chrome 77

[Captain Kirk]

Google heeft een nieuwe desktopversie van Chrome uitgebracht waarin een ernstig beveiligingslek is verholpen dat aanvallers hadden kunnen gebruiken om het onderliggende systeem over te nemen. Alleen het bezoeken van een gehackte of kwaadaardige website of het te zien krijgen van een besmette advertentie zou voldoende zijn geweest. Verdere interactie van de gebruiker was niet vereist.

Dergelijke kwetsbaarheden worden zelden in Chrome gevonden. Dit jaar kwam het één keer eerder voor dat Google een Chrome-lek als ernstig bestempelde. Vorig jaar verhielp Google vier ernstige lekken, een recordaantal. In 2014, 2015, 2016 en 2017 werden er respectievelijk drie, twee, geen en drie ernstige kwetsbaarheden door externe onderzoekers in Chrome ontdekt en aan Google gerapporteerd.

De nu verholpen kwetsbaarheid (CVE-2019-5870) was aanwezig in het onderdeel van Chrome dat wordt gebruikt voor het afspelen van audio en video. Het beveiligingslek werd ontdekt door onderzoeker Guang Gong van securitybedrijf Qihoo 360. De onderzoeker kreeg vorig jaar 112.500 dollar van Google wegens een aanval waarmee Pixel-telefoons op afstand waren over te nemen. Het was de hoogste beloning die het bedrijf ooit heeft uitgekeerd. Hoeveel Gong nu voor zijn melding krijgt is nog onbekend. De onderzoeker rapporteerde het probleem op 29 augustus.

Verder zijn er 51 andere kwetsbaarheden met Chrome 77.0.3865.75 verholpen. Daarmee was het onder andere mogelijk om de adresbalk te spoofen, andere browsers te starten, de downloadbescherming te omzeilen, het downloadvenster te spoofen en verschillende beveiligingsmaatregelen te omzeilen. Updaten naar de nieuwste Chrome-versie zal op de meeste systemen automatisch gebeuren.

 

 

bron: security.nl