Google schließt 7 Lücken mit Chrome-Update

Mit Chrome 102.0.5005.115 für Windows, macOS und Linux hat Google ein erstes Sicherheits-Update für Chrome 102 veröffentlicht. Im Chrome Release Blog führt Prudhvikumar Bommana diejenigen vier der insgesamt sieben beseitigten Sicherheitslücken auf, die durch externe Forscher entdeckt und an Google gemeldet wurden. Es sind keine 0-Day-Lücken darunter. Google stuft alle vier dieser Schwachstellen (CVE-2022-2007, -2008, -2010, -2011) als hohes Risiko ein. Dabei handelt es sich um zwei Use-after-free-Lücken sowie zwei Speicherzugriffsverletzungen in verschiedenen Browser-Komponenten, etwa WebGPU, WebGL und ANGLE. Google hat bislang einem der externen Forscher eine Prämie in Höhe von 10.000 US-Dollar zuerkannt, doch bei mehreren Lücken ist die Höhe der Belohnung noch nicht festgelegt. Details zu den intern gefundenen Sicherheitslücken hat Google wie immer nicht veröffentlicht. In aller Regel aktualisiert sich Chrome automatisch, wenn eine neue Version verfügbar ist. ▶Die neuesten Sicherheits-Updates

Andere Chromium-basierte Browser

Die Hersteller anderer Chromium-basierter Browser sind nun wieder gefordert, mit entsprechenden Updates nachzuziehen. Bislang bietet sich ein bunt gemischtes Bild der eingesetzten Chromium-Versionen. Immerhin sind alle bereits bei Chromium 102 als Grundlage angekommen. Brave hat seinen Browser erst tags zuvor auf die Version 1.39.120 aktualisiert, um einige Fehler zu beheben. Dabei haben die Entwickler auch eine etwas neuere Chromium-Version (102.0.5005.99) verbaut. Die mit dem jüngsten Chrome-Update gestopften Lücken sind in Brave jedoch noch nicht beseitigt. Microsoft hat seinen Browser Edge zwar nahezu zeitgleich mit Google aktualisiert, doch die neueste Edge-Version 102.0.1245.39 basiert noch auf Chromium 102.0.5005.63 vom 24. Mai. Mit dem Update hat Microsoft eine Edge-spezifische Schwachstelle (CVE-2022-22021) behoben. Microsoft weist sie als mittleres Risiko aus. Sie kann es eingeschleustem Code ermöglichen, aus der Browser-Sandbox auszubrechen. Dazu ist jedoch aktive Mithilfe eines Benutzers nötig, daher die relativ niedrige Risikoeinstufung durch Microsoft – trotz des recht hohen CVSS-Score 8.3. In Vivaldi 5.3.2679.51 hat der Hersteller den integrierten Mail-Client freigegeben. Unter der Haube werkelt Chromium 102.0.5005.108 als Browser-Basis. Auch hier ist also noch ein Sicherheits-Update nötig. Das gilt ebenso für Opera , das mit dem kürzlich erfolgten Wechsel auf den Versionszweig 88 noch auf Chromium 102.0.5005.61 baut. Am 21 Juni will Google turnusgemäß Chrome 103 veröffentlichen. Chromium-basierte Browser in der Übersicht: