Google start met wekelijkse patches voor Chrome en verhelpt 26 lekken

[Captain Kirk]

Google is een nieuw patchbeleid voor Chrome gestart, waardoor de browser nu wekelijks beveiligingsupdates ontvangt. Dit moet gebruikers beter beschermen tegen kwetsbaarheden die in opensource-onderdelen van de browser aanwezig zijn. Het is meerdere keren voorgekomen dat een beveiligingslek in een dergelijk onderdeel door de betreffende ontwikkelaar werd gepatcht, maar dat Google de update nog niet binnen Chrome had verwerkt en onder gebruikers uitgerold. Die lopen zo risico op aanvallen. Om deze 'patch gap' te verkorten wordt met de release van Chrome 116 een wekelijks patchbeleid gehanteerd.

Met Chrome 116 heeft Google in totaal 26 kwetsbaarheden in de browser verholpen. De impact van acht van deze beveiligingslekken is als 'high' beoordeeld. Het gaat in dit geval om kwetsbaarheden waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. De overige kwetsbaarheden die nu zijn verholpen hebben een lagere impact. De meeste van de beveiligingslekken werden door externe onderzoekers gerapporteerd. Voor één van de kwetsbaarheden betaalde Google de betreffende bugmelder een beloning van 30.000 dollar.

De update naar Chrome 116.0.5845.96 voor Linux en macOS en Chrome 116.0.5845.96/.97 voor Windows zal op de meeste systemen automatisch worden geïnstalleerd. In het geval van kwetsbaarheden met een "high" impact kan dit echter tot zestig dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren.

 

bron: https://www.security.nl