// COMPUTERBASE — MOBILE & WEB
Bereits Exploit vorhanden: 230 Sicherheitslücken in Google Chrome geschlossen
Mit Chrome 153 veröffentlicht Google für Windows, macOS und Linux eine neue Stable-Version, die insgesamt 230 Sicherheitslücken schließt. Besondere Aufmerksamkeit gilt einer Schwachstelle in der JavaScript-Engine V8, für die laut Google bereits ein Exploit in freier Wildbahn kursiert. Das Update sollte daher zeitnah erfolgen.
Unter den dieses Mal ungewöhnlich zahlreichen Schwachstellen befinden sich fünf als kritisch eingestufte Sicherheitslücken, von denen allein vier die Komponente WebGL betreffen. Dort kann es zu Use-after-free-Fehlern kommen, bei denen die Anwendung auf Speicherbereiche zugreift, die vom System zuvor bereits freigegeben wurden. Derartige Schwachstellen können Angreifern das Einschleusen von Schadcode ermöglichen, wodurch sich sensible Daten abgreifen oder im schlimmsten Fall sogar die vollständige Kontrolle über das System erlangen lässt. Darüber hinaus weist Google in diesem Bereich einen Pufferüberlauf aus, bei dem Chrome mehr Daten in einen reservierten Speicherbereich schreibt, als dieser aufnehmen kann. Auch über eine solche Schwachstelle kann die Kontrolle über das System erlangt werden.
Besondere Bedeutung kommt zudem einer als mittelschwer eingestuften Out-of-bounds-write-Schwachstelle in der JavaScript-Engine V8 zu. Zu der vor rund einem Monat entdeckten Lücke erklärt Google ausdrücklich, dass dem Unternehmen ein Exploit für diese Sicherheitslücke bekannt ist, der bereits in freier Wildbahn eingesetzt wird. Allein aus diesem Grund sollte Chrome schnellstmöglich auf die korrigierte Version aktualisiert werden.
Abseits der beschriebenen Fehler beseitigt Google zahlreiche weitere als hoch eingestufte Sicherheitsprobleme. Betroffen sind unter anderem Angle, PDFium, Codecs, Netzwerkfunktionen, Medienverarbeitung, Views, Chromoting, DevTools, Dawn, WebGL, GPU-Funktionen, Web Authentication, Web Packaging, WebUI, Geräte- und Zahlungsfunktionen, Printing sowie erneut die JavaScript-Engine V8. Die Fehlerklassen reichen von Use-after-free- und Out-of-bounds-Problemen über Pufferüberläufe und Speicherbeschädigungen bis hin zu fehlenden oder fehlerhaften Autorisierungsprüfungen, Race Conditions, Type Confusion und Injection-Schwachstellen. Nicht minder umfangreich fällt die Liste der mittelschweren Schwachstellen aus, auf der Komponenten wie Extensions, FileSystem, Site Isolation, Downloads, WebView, CORS, Service Worker, Safe Browsing, WebRTC, GPU, Passwords, Payments und Browser aufgeführt werden. Hinzu kommt eine ebenfalls hohe Zahl an Problemen, die Google als niedrig einstuft.
Wie bereits bei früheren Aktualisierungen hält Google Details und Verweise zu einzelnen Schwachstellen teilweise zurück, bis ein Großteil der Chrome-Installationen auf einen aktuellen Stand gebracht wurde. Die Einschränkungen können zudem länger bestehen bleiben, wenn ein Fehler in einer Bibliothek eines Drittanbieters steckt, die auch von anderen Projekten verwendet wird, für die noch keine Aktualisierung erfolgt ist.
Für Windows und macOS stellt Google mit 153.0.8010.36/.37 ab sofort korrigierte Versionen bereit. Unter Linux und Android steht mit Chrome 153.0.8010.36 ebenfalls eine aktualisierte Fassung zur Verfügung. Für iOS sowie Chromium-basierte Browser wie Microsoft Edge dürfte die entsprechende Aktualisierung erfahrungsgemäß in den kommenden Tagen folgen.
Die meisten Nutzer dürften inzwischen eine entsprechende Update-Benachrichtigung erhalten haben. Alternativ lässt sich die neue Version wie gewohnt über den Link am Ende dieser Meldung aus dem Download-Bereich von ComputerBase beziehen. Android-Nutzer erhalten die bereinigte Fassung über den Google Play Store, während Nutzer von iOS und iPadOS dafür den App Store von Apple aufsuchen.
Google Chrome ist der meistgenutzte Browser, bietet aber keinen nennenswerten Tracking-Schutz.