Update auf Chrome 77 schließt 52 Sicherheitslücken

Google hat seinen Browser Chrome in der neuen Version 77.0.3865.75 freigegeben. Darin haben die Entwickler einige Neuigkeiten für Web-Entwickler umgesetzt und alte Zöpfe abgeschnitten. Vor allem jedoch haben sie zahlreiche Sicherheitslücken der Vorversionen beseitigt. Im Chrome Release Blog hat Lakshmana Pamarthy diejenigen 36 von insgesamt 52 Schwachstellen aufgeführt, die durch externe Sicherheitsforscher entdeckt und an Google gemeldet wurden. Google schüttet im Gegenzug Bug-Prämien in einer Gesamthöhe von mehr als 30.000 US-Dollar aus. Diese Summe dürfte noch weiter anwachsen, denn für etliche Lücken hat Google die Prämie noch nicht festgelegt (TBD: to be determined) – namentlich für die als kritisch eingestufte, die etliche tausend Dollar einbringen dürfte. Neben dieser als kritisch geltenden Lücke (CVE-2019-5870) stuft Google weitere acht als hohes Risiko ein. Über die intern gefundenen Schwachstellen äußert sich Google wie immer nicht. Die Schnittstelle WebVR 1.1 gilt nunmehr als Auslaufmodell (deprecated), sie wurde nie zum Web-Standard erhoben. Mit Chrome 79 soll WebVR aus dem Browser verschwinden. Ersetzen soll sie die WebXR Device API, die mit Chrome 78 (22. Oktober) ausgeliefert werden soll. Die Nutzung von Web MIDI ist hingegen ab sofort auf Web-Anwendungen sicherer Herkunft beschränkt und erfordert eine ausdrückliche Erlaubnis des Benutzers. Ebenfalls in Chrome 78 will Google Versuche mit DNS-over-HTTPS (DoH) starten. Dabei soll Chrome prüfen, ob der durch den Anwender genutzte DNS-Anbieter auf einer Liste der DNS-Provider steht, die DoH bereits unterstützen. Dann wird DoH genutzt, andernfalls bleibt es beim bisherigen Verhalten. DoH soll DNS-Anfragen („Welche IP-Adresse hat www.xyz.de?“), die bislang noch immer unverschlüsselt gesendet werden, mittels HTTPS vor Dritten verbergen. Dies dient dem besseren Schutz der Privatsphäre. Auch Mozilla wird noch in diesem Monat bei Firefox 69 mit DoH loslegen, jedoch zunächst nur in den USA. Auch Chrome 77 für Android (77.0.3865.73) ist bereits erschienen und wird in den nächsten Tagen als Update auf die Android-Geräte verteilt.