Google dicht kritiek beveiligingslek in remote desktop protocol Chrome

[Captain Kirk]

Google heeft een beveiligingsupdate voor Chrome uitgebracht die meerdere kwetsbaarheden verhelpt, waaronder een kritiek beveiligingslek waardoor aanvallers code op het systeem van gebruikers kunnen uitvoeren. Alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties kan dan al voldoende zijn. Er is geen verdere interactie van de gebruiker vereist. Dit soort aanvallen worden ook wel drive-by downloads genoemd.

De kwetsbaarheid bevindt zich in het remote desktop protocol van de browser, door Google Chromoting genoemd. Het protocol maakt het mogelijk om een andere computer op afstand via de browser te bedienen. Het probleem werd door Google zelf gevonden en betreft een 'use after free' kwetsbaarheid. Verdere details zijn niet gegeven. Daarnaast heeft het techbedrijf ook meerdere problemen in de browser gepatcht waarvan de impact als 'High' is beoordeeld.

Bij kwetsbaarheden met het stempel High kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Via kritieke kwetsbaarheden is dat wel mogelijk.

Google Chrome 151.0.7922.173/.174 is beschikbaar voor macOS en Windows. Voor Linux is versie 151.0.7922.173 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.

 

bron: https://www.security.nl