Google Chrome komt met oplossing voor kritiek lek
In totaal bevat Chrome 124 drie bugoplossingen, waaronder die voor het kritieke lek CVE-2024-4058. Volgens de zoekgigant gaat het om een “Type Confusion”-kwetsbaarheid in ANGLE. Hierdoor kunnen aanvallers ongemerkt malware op het systeem van het slachtoffer installeren.
Drive-by-download
Normaal gesproken moeten gebruikers toestemming geven om malware te installeren. De kwetsbaarheid in Chrome maakt expliciete toestemming echter overbodig. Slachtoffers merken zulke drive-by-download-aanvallen niet eens op, omdat het proces op de achtergrond plaatsvindt. Pas bij activering van de malware zouden ze het opmerken.
Het lek werd ontdekt door beveiligingsonderzoekers van Qrious Secure. Ze ontvingen een beloning van 16.000 dollar voor het melden van de kwetsbaarheid. Of de kwetsbaarheid in Chrome actief is uitgebuit, is niet bekend. Google houdt de exacte details van het lek ook geheim totdat de Chrome-update het gros van de gebruikers heeft bereikt.
Chrome 124 bevat daarnaast twee fixes voor ernstige bugs: CVE-2024-4059 en CVE-2024-4060. 4059 was een ‘out-of-bounds’-kwetsbaarheid in de V8 API, waardoor aanvallers gebruikersgegevens konden uitlezen. Bij 4060 ging het om een ‘Use after free’-kwetsbaarheid. Als die kwetsbaarheid succesvol werd misbruikt, kreeg de aanvaller toegang tot het systeem van de gebruiker. Van beide kwetsbaarheden zijn geen misbruikgevallen bekend.
Installeer Chrome 124
Google heeft de bugs al opgelost in een recente Chrome-update. Voor Windows en macOS zijn dit Chrome-versies 124.0.6367.78/.79. Linux-gebruikers kunnen uitkijken naar Chrome-versie 124.0.6367.78. De update is beschikbaar voor alle gebruikers op die besturingssystemen en wordt automatisch geïnstalleerd. Je kunt de update ook handmatig installeren via het Over Chrome-menu.
