Google schließt 0-Day-Lücken in Chrome

Das Update auf die neue Chrome -Version 93.0.4577.82 steht für Windows, macOS und Linux bereit. Im Chrome Release Blog führt Prudhvikumar Bommana neun behobene Schwachstellen auf, die externe Sicherheitsforscher entdeckt und an Google gemeldet haben. Alle sind als hohes Risiko ausgewiesen, darunter sind zwei 0-Day-Lücken. Hinzu kommt zwei weitere, intern gefundene Schwachstellen, zu denen Google wie immer keine Angaben macht. Den Sicherheitsforschern, die Schwachstellen entdeckt und an Google gemeldet haben, hat das Unternehmen bislang 20.000 US-Dollar an Prämien zuerkannt. Für die meisten Lücken steht die Höhe der jeweiligen Prämie noch nicht fest (TBD: to be determined). Das gilt auch für die beiden 0-Day-Lücken (CVE-2021-30632, CVE-2021-30633), die anonym gemeldet worden sind. Bei CVE-2021-30632 handelt es sich um einen Pufferüberlauf in der Javascript-Engine V8. CVE-2021-30633 ist eine Use-after-free-Lücke in der Programmierschnittstelle (API) für Indexed DB, über die strukturierte Daten im Browser gespeichert werden können. Google teilt mit, es sei Exploit-Code für beide Lücken im Umlauf. Ob es Angriffe mittels dieser Schwachstellen gibt, lässt Prudhvikumar Bommana offen. ▶Die neuesten Sicherheits-Updates Die Hersteller anderer Chromium-basierter Browser sind gefordert bald nachzuziehen. Bislang haben nur Brave und Microsoft Edge den Wechsel auf Chromium 93 vollzogen. Beide enthalten jedoch noch die anfällige Chromium-Version 93.0.4577.63 . Bei Vivaldi steht ein Release Candidate (RC 1) für die Version 4.2 bereit, die auf Chromium 93 basiert. Opera scheint noch nicht so weit zu sein. Für Android steht im Google Play Store Chrome 93.0.4577.22 bereit, in Apples App Store gibt es Chrome 93.0.4577.78 für iOS. Bereits am 21. September soll Chrome 94 erscheinen. Chromium-basierte Browser in der Übersicht: