Google behebt zwei neue Zero-Day-Fehler in Chrome
Google hat gerade zwei weitere Zero-Day-Schwachstellen behoben, ein neues Update für die reguläre, stabile Version seines Chrome-Browsers. Die Exploits wurden in freier Wildbahn ausgenutzt, genau wie die vorherigen Sicherheitslücken, die das Unternehmen im Browser behoben hat.
Die neue Versionsnummer für den neuesten Bugfix der Chrome-Plattform, wie er im stabilen Versionskanal veröffentlicht wurde, lautet 94.0.4606.71. Das Update ist auf allen wichtigen Desktop-Plattformen verfügbar, auf denen Chrome ausgeführt wird, einschließlich Windows, Linux und Mac.
Auch Google hat eine offizielle Erklärung veröffentlicht, in der die Öffentlichkeit darüber informiert wird, dass dem Entwicklerteam bekannt ist, dass die beiden zuletzt gepatchten Sicherheitslücken bereits in freier Wildbahn ausgenutzt wurden. Die CVE-Bezeichner für die beiden Fehler sind CVE-2021-37975 bzw. CVE-2021-37976. Korrekturen für beide wurden in der Patch-Version 4606.71 enthalten.
Es gibt keine vollständigen Informationen zu den Besonderheiten der beiden Schwachstellen, da Google sicherstellen möchte, dass jeder den Patch über den automatischen Updater von Chrome erhalten hat. In der offiziellen Erklärung von Google wurde hervorgehoben, dass "der Zugriff auf Fehlerdetails und Links möglicherweise eingeschränkt bleibt", bis der Patch weltweit vollständig bereitgestellt wurde.
Zum Zeitpunkt des Verfassens dieses Artikels hat unser System den Patch bereits erhalten, sodass davon ausgegangen werden kann, dass er im schlimmsten Fall innerhalb weniger Stunden ausgerollt und für alle verfügbar sein wird.
Über die beiden Schwachstellen ist bekannt, dass CVE-2021-37976 nach CVE-Standards als Bug mit mittlerem Schweregrad eingestuft wird und ein „Informationsleck im Kern“ beinhaltet. Die andere Schwachstelle wird als Fehler in der V8-JS-Engine des Browsers beschrieben. Im Gegensatz zur 37976-Schwachstelle wird die JavaScript-Schwachstelle als hoher Schweregrad eingestuft.
Der JS-Engine-Bug wird auch als „User-after-free“-Schwachstelle beschrieben – ein Begriff, der für Probleme verwendet wird, die es einem Bedrohungsakteur ermöglichen, sich in ein Programm zu hacken, das einen Teil des Speichers freigegeben hat, aber den damit verbundenen Punkt nicht gelöscht hat Brocken.
