Update auf Chrome 98 beseitigt 27 Schwachstellen

Googles Browser Chrome ist in der neuen Hauptversion Chrome 98.0.4758.80/81/82 für Windows, macOS und Linux erhältlich. Warum es drei Versionsnummern für Windows gibt, bleibt zunächst unklar. Für macOS und Linux ist die neue Versionsnummer einheitlich 98.0.4758.80. Die Google-Entwickler haben etliche Schwachstellen der Vorversionen ausgemerzt und neue Funktionen in Chrome 98 implementiert. Neu ist etwa das Freigabemenü. Im Chrome Release Blog führt Srinivas Sista 19 behobene Schwachstellen auf, die durch externe Forscher entdeckt und gemeldet worden sind. Keine der Lücken ist als kritisch eingestuft. Keine der Sicherheitslücken gilt aktuell als 0-Day, demnach sind also bislang keine Angriffe bekannt, bei denen eine der Lücken ausgenutzt würde. ▶Die neuesten Sicherheits-Updates Google stuft acht der extern entdeckten Schwachstellen (CVE-2022-0452 bis -0459) als hohes Risiko ein. Darunter sind fünf Use-after-free-Lücken und ein Pufferüberlauf in verschiedenen Komponenten sowie eine Typ-Verwechslung in der Javascript-Engine V8. Weitere zehn der extern entdeckten Lücken (CVE-2022-0460 bis -0469) sind als mittleres Risiko ausgewiesen. Die Entdecker erhalten Prämien in Höhe von bislang insgesamt 88.000 US-Dollar, wobei die Prämien in einigen Fällen noch nicht festgelegt sind (TBD: to be determined). Zu den intern entdeckten Schwachstellen macht Google wie immer keine Angaben.

Neu in Chrome 98

Neu in Chrome 98 ist das so genannte Freigabemenü, dessen Symbolschaltfläche Sie am Ende der Eingabezeile (Omnibox) finden. Damit können Sie Links teilen, etwa über Social Media. Sie können auch einen QR-Code erstellen oder Links an Ihre Mobilgeräte senden. Zudem können Sie in Chrome 98 mehrere Profile anlegen, etwa um Ihre privaten und beruflichen Online-Aktivitäten zu trennen.

Mit Chrome 98 entfernt Google das Schlüsselaustauschverfahren SDES (Session Description Protocol Security Descriptions) für WebRTC aus dem Browser. Das Verfahren gilt seit Jahren als unsicher, da die auf diesem Wege vereinbarten Sitzungsschlüssel per Javascript ausgelesen werden könnten. Die Standardisierungsorganisation IETF (Internet Engineering Task Force) fordert bereits seit 2013, dass SDES nicht mehr verwendet werden dürfe. Auch Mozilla (Firefox) und Apple (Safari) haben SDES bereits entfernt oder werden dies demnächst tun.

Andere Chromium-basierte Browser

Nun sind wieder die Hersteller anderer Chromium-basierter Browser gefordert, ihre Programme zu aktualisieren. Die aktuellen Versionen Microsoft 97.0.1072.76, Brave 1.34.81 und Opera 83.0.4254.27 setzen noch auf Chromium 97.0.4692.99. In Vivaldi 5.0.2497.48 steckt die Chromium-Version 96.0.4664.175 mit rückportierten Sicherheitskorrekturen. Damit waren diese Browser bis Ende Januar auf dem neuesten Stand. Chrome 98.0.4758.85 für iOS und Chrome 98.0.4758.87 für Android sind ebenfalls erhältlich. Am 1. März soll Chrome 99 folgen, am 29 März Chrome 100. Chromium-basierte Browser in der Übersicht: