Chrome krijgt fix voor ernstige kwetsbaarheid die actief misbruikt wordt

Google heeft in het weekend een noodupdate uitgestuurd naar desktopgebruikers van Chrome die een ernstige kwetsbaarheid aanpakt die volgens Google momenteel actief misbruikt wordt. De kwetsbaarheid zit ook in andere Chromium-browsers, waaronder Microsoft Edge.

Update 99.0.4844.84 voor Chrome is in het weekend naar desktopgebruikers gepusht. Het is hoogst uitzonderlijk dat Google een update pusht naar alle gebruikers voor het aanpakken van een enkele kwetsbaarheid. Dat getuigt van de ernst van de kwetsbaarheid. Volgens Google gaat het om een confusion-in-V8-bug, die de CVE-code CVE-2022-1096 gekregen heeft.

Het type bug verwijst naar een JavaScript-engine die gebruikt wordt door Chrome. Meer details geeft het bedrijf niet omdat de kwetsbaarheid actief misbruikt wordt. De kwetsbaarheid werd 23 maart door een anonieme bron aan Google gemeld. De V8-type confusionkwetsbaarheid leidt over het algemeen tot browsercrashes, maar kan ook gebruikt worden om arbitraire code uit te voeren. De kwetsbaarheid stelt iemand in staat om geheugen te lezen en schrijven buiten de grenzen van het geheugen in programmeertalen zonder geheugenbeveiliging, zoals in C en C++.

Volgens Microsoft raakt de kwetsbaarheid ook andere Chromium-browsers, zoals Edge. Daarom heeft Microsoft ook een update van die browser uitgestuurd: versie 99.0.1150.55. Hoe de kwetsbaarheid in het wild misbruikt is, zeggen Microsoft en Google niet. Het is de tweede zeroday die Google dit jaar fixt met een noodupdate. In februari werd ook al een beveiligingsupdate uitgestuurd voor een bug met een 'hoog risiconiveau'. Begin maart bracht Google Chrome versie 99 uit, waarin 28 kwetsbaarheden gerepareerd werden.

Reacties (46)

[juggle]

Wat ik heb begrepen is dit een zeer ernstige bug waarmee een kwaadwillende de Browser volledig kan overnemen en dus ook toegang kan krijgen tot je crypto wallets indien er gebruik wordt gemaakt van Chrome extensions.

https://www.forbes.com/si...rome-now/?sh=68d59bde43cb

[Reactie gewijzigd door juggle op 28 juli 2024 21:12]

[JustFogMaxi]

crypto wallets in je browser, dan vraag je er om

[Slaiter]

Het " dan vraag je erom" idee wat sommigen lijken te hebben is in mijn optiek een erg rare gedachten. Eigenlijk zegt men dan dus dat crimineel gedrag begrijpelijk is wanneer het vermeende slachtoffer het de dader wel erg makkelijk heeft gemaakt.
Crimineel gedrag is nooit goed te praten en het vermeende slachtoffer heeft er nooit om gevraagd om slachtoffer te worden...

[Metalfreak]

Het is te vergelijken met zeggen dat een vrouw erom vraagt om verkracht te worden als ze een kort rokje draagt.

We moeten eens stoppen met die vorm van victim blaming, dat gaat echt niet helpen in betere bewustwording. Sterker nog, ik denk dat het behoorlijk averechts werkt, want mensen worden daardoor bang om zaken te melden en blijven achter met een enorm schuldgevoel als het wel een keer fout gaat. In dit geval bijvoorbeeld: het is mogelijk om een crypto wallet in je browser te integreren via extensies, de site maakt het mogelijk, beweert dat het veilig kan en dat kan ook zolang er geen kwetsbaarheid is . Vervolgens roept iemand ergens op een forum dat je er dan ook om vraagt. Hoe gaat dat helpen bij een oplossing?

[jaenster]

Ik denk dat iedereen het er wel mee eens kan zijn dat die zin van verkrachting nergens op slaat. Inderdaad, je moet een kort rokje kunnen dragen als vrouw (of man for that matter).

Maar ondanks dat moet je toch je fiets op slot zetten wil je dat verzekering je fiets vergoed bij diefstal. Er word aangenomen je als mens redelijk basis beveiliging toepast. Je huis is ook niet verzekerd tegen diefstal als je de deur open laat staat right.

Of dit specifieke geval valt onder redelijke beveiliging en common sense valt te betwisten, maar je vergelijking met victim blaming is een ongelovelijke dood doener in een discussie. Niet alles is altijd victim blaming, word daar beetje moe van.

[Metalfreak]

Je vergelijking met een fiets gaat ook niet altijd op: iemand met gezond verstand vindt nog steeds dat hij/zij van die fiets af moet blijven, ook loop je niet zomaar bij mensen binnen om spullen te ontvreemden. Dat een verzekeringsmaatschappij met gewoon een zakelijk belang dat eist, wil niet zeggen dat we het maar normaal moeten vinden om zonder deze voorwaarden maar alles mee te nemen wat niet goed beveiligd is.

Ik word juist moe van dat victim blaming ook in zoiets als cryptolockers. Altijd staan de beste stuurlui aan wal en weten ze het altijd beter en hebben ze er veel commentaar op, niet gehinderd door enige kennis. Die kennis is niet alleen technisch, maar vaak ook organisatiekennis en soms simpelweg gewoon gehinderd door een gebrek aan budget of personeel. Je kunt wel een bedrijf hebben met 1 miljoen aan omzet, maar als je vervolgens 1 miljoen aan cybersecurity moet uitgeven, heb je niet echt meer een business case natuurlijk. (bedragen zijn fictief )

[Fordox]

Je vergelijking met een fiets gaat ook niet altijd op: iemand met gezond verstand vindt nog steeds dat hij/zij van die fiets af moet blijven, ook loop je niet zomaar bij mensen binnen om spullen te ontvreemden

Dieven bestaan eenmaal. En de uitspraak "gelegenheid maakt de dief" is altijd een goeie om in je achterhoofd te houden. Niet iedereen is een dief maar soms zijn dingen voor de 'gewone' mens iets te verleidelijk om te laten liggen, zoals een tientje ergens op een bureau van de boekenwinkel (ik roep maar wat).

Daarnaast in cybercrime gebruiken ze vaak sleepnetten. Ze laten bij miljoenen een scriptje draaien in een browser (in dit geval) en checken of er een kwetsbaarheid open staat. Zo niet; pech. Zo wel; mooi stelen, lekker makkelijk.
Veel mensen kopen een slot voor hun fiets en gaan er vanuit dat het hoort te werken. Dan komt er een fietsendief bij het station en zoekt naar een specifiek slot-type waar hij met een schroevendraaier in 2 tellen dat ding los heeft.

Het is geen victim blaming want mensen kopen sloten, maar dan moeten ze ook niet voor de makkelijkste/goedkoopste slot gaan. In dit geval dus een cryptowallet als browserextensie. Je moet het dieven niet te makkelijk maken.

[Reactie gewijzigd door Fordox op 28 juli 2024 21:12]

[StackMySwitchUp]

Sloten hebben keurmerken, browsers claimen dat ze veilig zijn, makers van cryptowallets claimen dat browser extensies veilig zijn. Kan de gewone consument die wat met crypto doet (of zelfs een trader die verder geen ervaring met cybersecurity heeft) bepalen of dat wel of niet veilig is?
Een slot zonder keurmerk kun je nog van zeggen "ja maar dat was een slot zonder keurmerk" en dan nog, niet iedereen weet dat.

Ik vind je argument flauw en vind nog steeds dat @Metalfreak gelijk heeft

[michaelkamen]

Als je de LockPickingLawyer volgt weet je dat er nauwelijks sloten zijn die niet te kraken zijn, keurmerk of niet.
De gewone consument kan zich laten informeren. Hij/zij koopt tenslotte ook een los kettingslot, terwijl er op de meeste fietsen gewoon een slot aanwezig is.
Dat bewustzijn is tegenwoordig aanwezig. Hetzelfde bewustzijn moeten we creëren rondom cybersecurity.

[kodak]

Waar haal je vandaan dat browsers of extensies claimen veilig te zijn?

[StackMySwitchUp]

Hoezo, verwacht je bronnen?
Als een cryptowalletmaker een browser extensie maakt, dan claimen ze dat het veilig is. het zou immers gek zijn als ze zeggen "gebruik op eigen risico" (dat staat vast in de kleine lettertjes, maar niet in grote letters op de website)

Hetzelfde geldt voor browsers.
Ik reageer specifiek op de uitspraak "Als je een extensie gebruikt dan vraag je erom"
Dat vind ik onzin, want dat kan de gewone consument niet weten. En het argument dat ze dan beter onderzoek moeten doen is ook flauw, want men kan niet overal alles vanaf weten. Om het voorbeeld met sloten aan te halen: Ik kijk naar het keurmerk op mijn slot en ga ervan uit dat het een inbreker genoeg tijd kost om af te schrikken, of in ieder geval zodat ik een knuppel kan pakken.
Moet ik dan precies weten hoe het slot in elkaar zit, of het wel HSS staal is, hoe de pinnen zijn, wat de gemiddelde tijd is die het een professionele inbreker kost om binnen te komen, etc.?
En moet ik dat dan ook met mijn auto, fiets, kluisje in de sportschool? Vraag ik er dan om als ik dat niet doe?

[kodak]

@StackMySwitchUp Dat iemand een browser of extensie maakt is niet hetzelfde als claimen dat het zonder risico is.

Het is ook geen redelijk uitgangspunt, aangezien software hoe dan ook niet zomaar zonder risico is. Dat bewijst dit beveiligingsprobleem juist. Dat bewijzen ook de duizenden lekken en updates die eerder verschenen.

Het is dus geen kwestie van zelf geen risico nemen of geen keuze maken. Dat iemand dat zelf niet kan is daarbij net zo goed een eigen risico en al niet zomaar af te schuiven. Dus als iemand kan kiezen tussen wel of niet gebruiken van een extensie, of dat als oplossing acceptabeler vinden dan belangrijke gegevens op een andere manier verwerken, dan is dat toch echt een keuze om zelf een risico te nemen. Dat kan je dan misschien niet leuk vinden, bijvoorbeeld omdat je dan moet erkennen dat iemand moeite moet doen een eigen wallet veilig te houden, maar dat zorgt er niet voor dat het dus maar geen keuze of geen eigen risico is.

[StackMySwitchUp]

Hoho, ik zeg niet dat er geclaimd wordt dat het zonder risico is. Ik zeg dat iemand die niet security-minded is het niet kan inschatten, en het in mijn ogen niet hun eigen schuld is als ze via hun browser 'gehacked' worden. De materie is dermate complex dat dat ook niet redelijkerwijs verwacht kan worden.

[kodak]

browsers claimen dat ze veilig zijn, makers van cryptowallets claimen dat browser extensies veilig zijn

Veilig staat niet zomaar los van risico.

[bbob]

Je vergelijking met een fiets gaat ook niet altijd op: iemand met gezond verstand vindt nog steeds dat hij/zij van die fiets af moet blijven, ook loop je niet zomaar bij mensen binnen om spullen te ontvreemden. Dat een verzekeringsmaatschappij met gewoon een zakelijk belang dat eist, wil niet zeggen dat we het maar normaal moeten vinden om zonder deze voorwaarden maar alles mee te nemen wat niet goed beveiligd is

In een utopische wereld heb je helemaal gelijk. Probleem is alleen dat mensen elkaar sinds ze bestaan al de kop in slaan, moord en doodslag ook zo lang bestaat en diefstal ook gewoon gebeurt.

Nu zul je in sommige kleine dorpen met sociale controle daar weinig last van hebben en kunnen of konden mensen vroeger idd de deur gewoon open latten staan.
Tegenwoordig gaat het niet meer en moet je dus rekening houden met die mensen die een andere moraal hebben.

Ik werk nog omslachtig bewust met bankkaart en reader en geen eenvoudige app of iets anders op mijn pc of telefoon. Gemak dient de mens maar gemak maakt ook gemakzuchtig en daar profiteren in het digitale tijdperk nu eenmaal mensen van. Stilstaan bij dat gemak en het risico is dan ook niet verkeerd.

[bwerg]

het is mogelijk om een crypto wallet in je browser te integreren via extensies, de site maakt het mogelijk, beweert dat het veilig kan en dat kan ook zolang er geen kwetsbaarheid is . Vervolgens roept iemand ergens op een forum dat je er dan ook om vraagt. Hoe gaat dat helpen bij een oplossing?

Nou, dat je het de volgende keer niet meer zo doet. Waarbij ik niet per se wil zeggen dat gebruikers die daarin getroffen zijn dat verkeerd hebben gedaan - daarvoor moet je toch echt naar specifieke gevallen kijken en alle details in die gevallen.

Stoppen met "victim blaming" is helemaal terecht, maar het punt is dat "blaming" bij criminaliteit op internet helemaal niet relevant is, net zo min als dat je niet aan "blaming" doet bij een boom in het bos die tijdens een storm op een auto valt. Schuld komt er doorgaans niet bij kijken, het is niemands fout. Het gebeurt gewoon en je dient er gewoon verstandig mee om te gaan om de kans te verkleinen dat het jou overkomt (dus geen auto in het bos parkeren tijdens een storm, en hetzelfde met alle "best practices" bij internetgebruik). Het feit dat er een crimineel achter zit in plaats van een natuurkracht leidt vaak tot reactie dat het slachtoffer niets te verwijten valt "want de crimineel had zich moeten gedragen". Maar zolang het grootste deel van het misbruik uit anoniem China/Rusland/... komt, gaan die criminelen er gewoon zijn en daar kunnen we helemaal niks tegen doen, net zo min als tegen een storm. Je moet er mee omgaan en als je dat niet doet ondervindt je gevolgen, schuld of niet.

Hoe gaat dat helpen bij een oplossing?

Bij verlies van je crypto-wallet vanwege een lek ligt de enige oplossing bij het beter beveiligen van de wallet. Of Google dat nou had moeten doen of de wallet-bezitter, er ligt zeker geen oplossing bij het aanpakken van een crimineel. Natuurlijk moeten we dat vooral blijven doen maar het overgrote deel zit niet in Nederland.

In een crypto-wallet zit je eigen geld, zonder enige controle van derde partijen die daarin nog iets kunnen beveiligen, controleren of terugdraaien. "De browser-extentie gaf aan dat het veilig was" is leuk, maar met die instelling kun je beter gewoon gaan internetbankieren.

[Reactie gewijzigd door bwerg op 28 juli 2024 21:12]

[wjjkoevoets]

Victim blaming wordt nogal vaak gebruikt als drogreden om onder de verantwoordelijkheid jegens jezelf uit te komen.

Het feit dat criminelen eikels zijn en aangepakt moeten worden met alle mogelijkheden die de wet bied, ontslaat jou niet van je eigen verantwoordelijkheid. Als je als vrouw doelbewust in een kort rokje door een donker park loopt waar aan de lopende band vrouwen verkracht worden dan ben je toch echt nalatig jegens jezelf. Natuurlijk is het probleem de verkrachter, maar dat wil niet zeggen dat je zelf niet meer na hoeft te denken en zomaar domme beslissingen kunt gaan maken. Zo werkt het simpelweg niet. Sterker nog, je maakt zelf dagelijks verstandige keuzes om risico's te beperken (b.v. het op slot doen van je huis of auto).

In dit geval is het hebben van crypto wallet extensions in je browser hetzelfde als die eerdergenoemde vrouw die door het donkere park loopt. Ik denk dat dit is waar @JustFogMaxi op doelt.

FD: Ik doe zelf helemaal niks met crypto en heb ook geen idee hoe wallets (binnen of buiten browsers werken).

[wjjkoevoets]

Nee en dat beweer ik ook helemaal niet.

Vrouwen zouden zich onveilig moeten voelen als ze bij jou in de buurt komen, kort rokje of niet.

Ik hoop het niet

[stormbyte]

Het "dan vraag je er om" zal toch echt gelink zijn aan het stukje "Chrome extensions".
Als je je crypto wallets "veilig" opslaat zou je eigenlijk een medium moeten gebruiken dat je zelf veilig vind.
Mijn mening is dat bijvoorbeeld LastPass een aardig veilig programma is maar de extentie voor chrome een extra security risco met zich mee brengt.
Chrome heeft toegang tot je plugins, dus als Chrome "Lek" is dan kan het zijn dat alles wat gekoppeld is met Chrome compromised is.

[MazDaMan1970]

LastPass een aardig veilig programma is

Recentelijk nog gehacked, dus als je echt op safe wilt spelen, kun je beter zelf Vaultwarden oid. hosten.

[William_H]

Wat is er moeilijk aan Keepass draaien in je gratis OneDrive?

[MazDaMan1970]

Is ook een oplossing.

[biteMark]

Ik ben het helemaal met je eens dat crimineel gedrag nooit goed te praten is maar je moet er wel rekening mee houden, het gebeurt tóch wel. Het is naïef om uit te gaan van de eerlijkheid van de mens.

[Reactie gewijzigd door biteMark op 28 juli 2024 21:12]

[jetspiking]

Het is dan ook zeer kwalijk dat door de voortdurende herhaling van dit soort statements de misdaad zelf gebagatelliseerd wordt en gedupeerden een schuldgevoel aangepraat zal worden. Eigenlijk moet er gewoon keihard gereageerd worden op het misdrijf. Verder helpen de statements ook niet op het gebied van bewustwording. Ik ben het eens met je argument.

Dus: daar vraag je niet om!

[SunnieNL]

het crimineel gedrag is nooit goed... maar als eigenaar van de wallet wil je dit toch zo veilig mogelijk hebben.
Je legt je pinpas ook niet met een post-it op tafel om dan even weg te gaan.

[Micahve]

Ik snap beide punten, tuurlijk kan je crimineel gedrag niet goedspreken, maar als je het criminelen zo makelijk maakt ben je zelf ook schuldig

Er moet echt meer aandacht besteed worden aan hoe je veilig om gaat op het internet / computers in het algemeen, zo kan je dit soort dingen voorkomen.

[mdj84nl]

Als jij je fiets niet op slot doet, of de voordeur open laat staan, vraag je er toch ook om, om bestolen te worden.

Belachelijk, maar helaas gewoon zo.

[Keypunchie]

Je vraagt er dan zeker niet om.

Het is wel een slechte 'security practice'.

[beerse]

:-) Mooi te zien dat als er veel tools een zelfde basis gebruiken en die basis een issue heeft, dat er dan ook veel issues zijn. Chrome, Chromium, Edge...

Het is voor mij niet de enige maar wel een grote reden om FireFox actief te gebruiken.

[Paprika]

Ik zie de grote afhankelijk van het Chromium project juist als een voordeel. Bugs worden snel aangepakt en beide partijen rollen al direct updates uit.

[Auredium]

Alles heeft voor en nadelen. Firefox wordt door Mozilla vrij rap geupdate na de ontdekking van een lek. Ze hebben minder lekken maar dit komt waarschijnlijk ook omdat ze minder gebruikers hebben.

Ik denk dat het goed is dat Chrome in dit geval zo goed reageert en Chrome wordt ook gewoon goed gepatched. Daar is dan weer tegenover gesteld dat Chrome een enorme hoeveelheid gebruikers heeft wat automatisch betekend dat er meer tegen wordt geklopt door kwaadwillende.
Net zoals de meeste lopende band fishing mails de top drie grootste banken in een land targetten; de meeste gebruikers.

Goed om te zien dat de update ook gewoon snel door kon worden gepusht naar Edge. Ik gebruik Chrome zelf niet (of 1 van zijn afgeleiden) maar ze doen het patchen wel op een goed tempo (wat natuurlijk ook zo moet).

[Micahve]

Beide jullie punten kloppen, het is een blessing and a curse. Aan de ene kant kan 1 bug of breech en gelijk over de hele flank heb je problemen, maar je hebt ook meer mensen om problemen op te lossen.

Uiteindelijk is het belangrijk en goed dat er competitie is, dit zorgt voor verbeteringen en houdt iedereen envolved on their toes!

[dezejongeman]

en FF kan natuurlijk geen RCE vulnerability hebben. de chromium basis wordt veelvuldig gebruikt omdat het een degelijke basis is, welke open gesteld is.

vergelijkbare issues zagen we ook met log4j. ik denk dat meer dan het halve internet op apache draait, dat maakt het nog niet slecht natuurlijk.

[dwilmer]

Semi-off-topic: log4j is een logging-library voor Java, en heeft - behalve de stichting die het onder hun hoede heeft genomen - weinig met de Apache Server te maken. Wel is het veel gebruikt, en ben ik met je eens dat dat niet voorkomt dat er een kwetsbaarheid van jewelste in zat.

[air2]

Dat zou niet de reden moeten zijn om firefox te gebruiken. Als het om veiligheid gaat, kun je beter kijken naar de staat van de code. De procedures. Hoe wordt er getest etc. Overigens gebruik ik zelf firefox.

[jpsch]

Moet elke browser nu een eigen patch uitbrengen? Is er geen fix voor die java script engine mogelijk?

[svennd]

"Elke" browser gebruikt onderliggend chromium, de patch is dus beschikbaar daar en die moeten ze wel overnemen of er zelf één voor schrijven

[HollowStrike]

Volgens mij is het update 99.0.4844.84 en niet 9.0.4844.84.

Zo te zien is het al aangepast.

[Reactie gewijzigd door HollowStrike op 28 juli 2024 21:12]

[TweakerCarlo]

Als je naar instellingen about gaat dan update het automatisch idd. Ff chrome restarten en klaar

[andreas_f]

@Paprika heb je toevallig gekeken hou oud sommige vulnerabilities al waren voor ze werden opgelost in versie 99? Er zat er zelfs 1 bij van augustus 2021.

[svennd]

Hoe de kwetsbaarheid in het wild misbruikt is, zeggen Microsoft en Google niet.

Dat vind ik dus een beetje vreemd, de kwetsbaarheid is reeds in gebruik, dus maakt het weinig uit om het algemene publiek die info niet te geven.

De patches involved zijn wel degelijk te vinden. Van daaruit is het redelijk eenvoudig te achterhalen hoe een exploit zou moeten werken...

[Reactie gewijzigd door svennd op 28 juli 2024 21:12]

[frankkie12345]

Disclaimer: Ik kan het mis hebben, en ik heb geen bron behalve "gehoord van iemand".
Misschien is het gerelateerd aan Discord server hackers.

Er worden de laatste tijd veel Discord servers gehackt, dit lijkt als volgt te werken.
Door middel van wat "social engineering" proberen ze je te laten klikken op een link.
Zodra die link opent in Chrome, stelen ze je Discord gegevens. Het enige wat je ziet is een witte pagina in Chrome, en het feit dat er ineens een CMD-window in Windows wordt geopend.
(was uitgetest door iemand die ik ken in een VM)
Vervolgens wordt jou Discord account weer gebruikt om anderen op het linkje te laten klikken.
Doel lijkt te zijn om Discord accounts met Nitro te vinden, omdat daar een betaalmethode aan is gekoppeld.
Of Discord accounts die server-owner zijn, zodat ze de server kunnen overnemen.

[dfury]

Electron Dev: Ik doe alsof ik dat niet heb gezien. Serieus hoeveel van die apps worden werkelijk goed bijgehouden?

[Mgps]

Vandaag 30 maart 2022 via de drie puntjes in de browser, help, 'over Google Chrome' gekeken en toen werd een update geïnstalleerd. Het blijkt inmiddels de :
Chrome is up-to-date
Versie 100.0.4896.60 (Officiële build) (64-bits) te zijn.