Google brengt Chrome-update uit die actief misbruikt lek in V8-engine oplost

Google heeft een beveiligingsupdate voor zijn Chrome-browser uitgebracht. Deze update lost vijf kwetsbaarheden op, waaronder een use-after-free-kwetsbaarheid in de Chrome V8-engine die actief wordt misbruikt.

De kwetsbaarheden zijn opgelost in Chrome-versie 96.0.4664.110 voor desktops, die 'in de komende dagen of weken' wordt uitgerold voor Windows, macOS en Linux. De update wordt uitgebracht in de stable- en extended stable-kanalen van Chrome. Tweakers kon de update direct installeren in de Chome-instellingen, onder 'Help' en 'Over Google Chrome'.

De kwetsbaarheid die is opgelost, wordt aangeduid als CVE-2021-4102. Momenteel is de CVE-pagina nog gereserveerd en staan er nog geen concrete details online. Google meldt in de patchnotes wel dat het een bug in de Chrome V8-engine betreft, die op donderdag 9 december werd gemeld aan Google. Het is de zestiende Chrome-kwetsbaarheid die Google dit jaar oplost.

CVE-2021-4102 betreft volgens Google een use-after-free-kwetsbaarheid. Daarbij wordt incorrect gebruikgemaakt van vrijgemaakt dynamisch geheugen. Dat kan leiden tot datacorruptie en kan het ook mogelijk maken om willekeurige code uit te voeren. Google publiceert verder geen details, maar meldt een 'hoog' risiconiveau, zonder verdere toelichting. Het bedrijf geeft aan details over bugs achter te houden totdat de meeste gebruikers de update hebben geïnstalleerd. Het bedrijf schrijft wel dat het op de hoogte is dat een exploit voor deze kwetsbaarheid 'in het wild bestaat'.

Google lost ook vier andere kwetsbaarheden op in de nieuwe Chrome-update, waaronder CVE-2021-4098. dat betreft een 'insufficient data validation'-bug in Mojo, die wordt aangeduid met een 'kritieke' risicoscore. De bug werd door een medewerker van Google Project Zero gemeld op 26 oktober. Ook hierover zijn nog weinig concrete details bekend. Verder lost de update een andere use-after-free en een heap buffer overflow op in Swiftshader, naast een object-lifecycle-probleem in Angle.

Reacties (24)

[Wouterie]

Ok, ik snap dat Google Chrome de meest gebruikte Chromium browser is, maar moeten we hier op Tweakers niet vermelden dat het een bug is voor de V8 engine van Chromium? Aangezien V8 is ontwikkeld door 'the Chromium Project' is het onvolledig om het over Google Chrome te hebben. We zitten hier immers niet op nu.nl.

[P_Tingen]

Asking the real questions. Ik zat me ook al af te vragen of dat ook voor Edge zou gelden aangezien die ook van de Chromium engine gebruik maakt, net als meer browsers.

[BrBuggyB]

Moet Edge nu ook een update krijgen, omdat die ook op de Chrome engine draait?

[418O2]

Ja, voor zover ik kan lezen gebruikt die ook de v8 engine

[Reactie gewijzigd door 418O2 op 23 juli 2024 01:15]

[Bux666]

Edge is gebasseerd op Chromium. Hieronder valt ook de V8 JavaScript Engine van Google. Dit zou door Microsoft in een nieuwe build geüpdate moeten worden ja.

[ArmEagle]

Oh ik had mijn top level post ook hier onder kunnen plaatsen; ArmEagle in 'nieuws: Google brengt Chrome-update uit die actief misbruikt lek...
(een relatieve link mag helaas niet)

[Reactie gewijzigd door ArmEagle op 23 juli 2024 01:15]

[Mayonaise]

NodeJS ook vermoed ik, draait ook op de V8 Engine.

[ArmEagle]

Microsoft heeft gisteren (13 december) een update geplaatst voor Edge:

Microsoft is aware of the recent exploit existing in the wild. We are actively working on releasing a security patch as reported by the Chromium team.

Dus dat is nog even wachten.

[Daoka]

Google brengt Chrome-update uit die actief misbruikt lek in V8-engine oplost

Kopje van de artikel . En ja andere browsers hebben er ook last van. ArmEagle heeft ook al een reactie geven dat Edge bezig is met een update. Dus Chrome heeft een update gehad en Edge nog niet. Volgens mij lijkt het dus gewoon goed dat ze het alleen over Chrome hebben. Al had er inderdaad iets meer over gezegd kunnen worden.

[ArmEagle]

Dat laatste is precies waarom ik dit hier deelde. Ik vind dat een tech-website zelf even die extra stap zou moeten zetten. Je bent toch je lezers aan het informeren, of niet?

[Daoka]

Wij vinden het misschien wel. Een ander vind het misschien overbodig want de artikel gaat over Chrome. En sinds dat het probleem in de engine zit snappen ze dat bijvoorbeeld edge ook een update nodig heeft. En aangezien die er nog niet is heeft het geen zin om te melden dat het er niet is.

Zo heb ik vaker berichten gezien dat men meer informatie had moeten geven zoals uitleg wat iets is. Doen ze het wel krijgen ze weer commentaar dat het irritant is en dat dit Tweakers is en mensen die informatie ook zelf had kunnen zoeken. Het is dus soms gewoon moeilijk in te schatten waar de grens ligt lijkt me. Of te bedenken dat er andere onderdelen zijn als je gefocust ben op 1 onderwerp.

[Wouterie]

Ik ben van mening dat het best wat zorgvuldiger kan. Ik gebruik zo min mogelijk producten van Google en weet dat Google Chrome nogal een aangepaste Chromium variant is. Wat Google allemaal uitspookt met hun browser moeten ze lekker zelf weten. De kop verklapt pas op het eind dat het niet alleen Google Chrome betreft en dat vind ik voor Tweakers toch behoorlijk onder de maat. We zitten, zoals eerder gezegd, niet op nu.nl.

[Robtimus]

De kwetsbaarheden zijn opgelost in Chrome-versie 96.0.4664.110 voor desktops, die 'in de komende dagen of weken' wordt uitgerold voor Windows, macOS en Linux

Ik kreeg hem vanmorgen al aangeboden, dus ze zijn er sneller mee dan ze zelf zeggen.

[jaapzb]

Uitrol doen ze vaak over een bepaalde periode, niet iedereen krijgt de update op hetzelfde moment

[egelalexander]

Bij mij ging hij pas updaten op het moment dat ik bij help op 'over Google Chrome' klik. Werkt dit anders dan bij bijvoorbeeld Firefox waarbij je een update melding krijgt als je hem start? Of installeert hij hem uiteindelijk toch automatisch, zou dat wel prettig vinden bij grotere issues als deze.

[RienBijl]

Over het algemeen draait Chrome zijn updates automatisch, zonder interventie van de gebruiker.

[KaWouterplop]

Nooit geweten dat er ook auto monteurs rondlopen bij Google

[Gohan040]

Ik mis soms toch wel een +1 humor knop of iets dergelijks. Ik moest wel even lachen

[FairPCsPlease]

Ja, dat was mijn gedacht ook toen ik de titel las: draait de Chrome-browser op een benzinemotor ?

[mr.koen]

Ho ho ho.. er zijn ook weldegelijk v8 diesels!

[mikesmit]

Motoren zijn er in alle vormen en maten. Laatst was ik voor me werk op een locatie waar een 20L v20 diesel aggregaat stond

[prodesk]

Haha, hier dacht ik ook aan.

[_Pussycat_]

Vroeger was die er, ik meen idd +1 humoristisch. Jammer dat hij weg is.

[hansvo286]

Heb Chrome browser verwijderd ieder keer vast na 1 a 2 minuten sloot Crome zich af en konik weer verder met hestel optie gebruik nu Firefox en Opera totaal geen last meer