Google lanceert Chrome 100 en verhelpt 28 kwetsbaarheden

[Captain Kirk]

Google heeft Chromeversie 100 gelanceerd waarmee onder andere 28 kwetsbaarheden in de browser worden verholpen. Het is ook de laatste Chromeversie met een onbeperkte user-agent-string. De maximale impact van de beveiligingslekken is beoordeeld als "high". Voor zover bekend is nog geen van de kwetsbaarheden gebruikt bij aanvallen.

In het geval van beveiligingslekken met het label "high" kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen.

Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Kwetsbaarheden met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.

User-Agent

Tevens laat Google weten dat Chrome 100 de laatste versie van de browser is met een onbeperkte user agent-string. De user-agent-string, die met elk http-request wordt verstuurd, bevat informatie over onder andere het besturingssysteem van de gebruiker, gebruikte browser en versienummer, apparaatmodel en onderliggende architectuur. De combinatie van deze parameters en grote aantal mogelijke waardes zorgt ervoor dat internetgebruikers alleen aan de hand van hun user-agent zijn te identificeren.

Google stelt dat de user-agent het fingerprinten van gebruikers mogelijk maakt. Daarnaast kan het voor compatibiliteitsproblemen zorgen wanneer browsers verkeerde informatie via de user-agent doorgeven. Google is van plan om de informatie die via de user-agent wordt verstrekt geleidelijk te beperken. Websites zullen dan niet meer zien welke specifieke browserversie of besturingssysteem iemand gebruikt.

De test waarmee websites de volledig beperkte user-agent konden testen zal op 19 april eindigen. Daarna zal de user-agent steeds verder worden beperkt, zo laat Google weten. Updaten naar Chrome 100.0.4896.60 zal op de meeste systemen automatisch gebeuren.

 

bron: https://www.security.nl