Google verhelpt actief aangevallen zerodaylek in Chrome

[Captain Kirk]

Google heeft voor de eerste keer dit jaar een actief aangevallen zerodaylek in Chrome verholpen. Net als met de eerste zerodaylek van 2023 bevindt de kwetsbaarheid zich in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript en waarin al vaker zerodaylekken werden gevonden.

De impact van de kwetsbaarheid, aangeduid als CVE-2024-0519, is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden. De kwetsbaarheid werd gerapporteerd door een niet nader genoemde onderzoeker. Google geeft geen details over de doelwitten van de waargenomen aanvallen en hoe ze precies plaatsvinden.

Google Chrome 120.0.6099.224/225 is beschikbaar voor Windows, voor Linux en macOS zijn respectievelijk versies 120.0.6099.224 en 120.0.6099.234 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van actief aangevallen kwetsbaarheden echter tot zeven dagen duren. Gebruikers die direct de update willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.

 

bron: https://www.security.nl