Google patcht actief misbruikte zeroday in Chrome-webbrowser

Google heeft een update voor Chrome uitgebracht die een actief misbruikte zerodaybug moet patchen. Het betreft een typeconfusionbug in de V8-JavaScript-engine die geclassificeerd wordt als high. Google meldt dat de bug actief misbruikt wordt.

Het Amerikaanse bedrijf geeft voorlopig weinig details mee over de kwetsbaarheid, die code CVE-2023-2033 kreeg. Het bedrijf doet dit naar eigen zeggen totdat een meerderheid van de Chrome-gebruikers de update heeft kunnen installeren. De patch zit in Google Chrome 112.0.5615.121 vervat; dat is een update die beschikbaar komt voor de Linux-, macOS- en Windows-varianten van de webbrowser.

In de CVE-databank staat te lezen dat het om een typeconfusionbug gaat die in de V8-JavaScript-engine van Chrome is vastgesteld. Bij een typeconfusionkwetsbaarheid controleert de engine niet goed welk type object er wordt ingeladen. Dat kan ervoor zorgen dat aanvallers kwaadwillige code kunnen uitvoeren in de browser waar bijvoorbeeld privacygevoelige informatie kan worden uitgelezen. Vorig jaar kwam Google ook met enkele zerodaybugpatches voor Chrome. Sommige van die bugs bevonden zich toen ook in de JavaScript-engine van de browser.

Reacties (78)

[atthias]

Zal vermoedelijk ook voor andere chromium browsers gelden

[killercow]

mooi man die monocultuur.

[FatalError]

Daarom zou het goed zijn als Firefox een flink groter marktaandeel zou krijgen, zoals vroeger.
Firefox is echt een prima browser. Ik gebruik niet anders.

[moonlander]

Toch vind ik chrome net wat lekkerder werken met dev tools. Zal vast gewenning zijn maar toch

[youri_ajax]

Ik heb een memory leak met de dev tools van Firefox.

Na een dag lang gewerkt te hebben zit ik soms op de 20GB in gebruik.

[ManIkWeet]

Als je het kan reproduceren kan je een bug aanmaken bij Mozilla, helpt de browser ontwikkeling en groei

[Artimunor]

ik gebruik chrome dan ook om te developen, en firefox om de wilde baren van het internet te besurfen.
in combinatie met een hele host aan plugins zoals no-script etc.

[moonlander]

Wat een ergenis zal je hebben als je nergens javascript aan hebt staan.

[SenkZ]

Ik heb no-script geconfigureerd om automatisch de host domein tijdelijk goed te keuren. Hierdoor werken alle first party scripts maar niet de extern ingeladen zooi.

[moonlander]

Ja dus wat een gedoe, want vaak worden cdn partijen gebruikt voor leveren van dat soort content.

[Artimunor]

alleen bij websites die ik nog niet bezocht heb, valt heel erg mee hoor, 1x instellen en daarna onthoud no-script je settings.
dat in combinatie met little snitch werkt vrij goed (en dan zie je ook wat voor rommel er allemaal ingeladen wordt, en waarnaar je informatie geupload wordt door sommige sites)

[DonJunior]

zucht.. en straks zit er een zero-day in Firefox en dan lezen alle reacties "en daarom gebruik ik Chrome/Edge/Opera/vul-hier-eender-welke-andere-browser-in "

[Robbierut4]

Niet helemaal.

Zeker nu edge ook chromium based is is iets van 70% (afhankelijk van het onderzoek) een chromium based browser.

Dat is erg veel en geeft naast beveiligingsrisico's ook erg veel macht aan google voor de toekomst van het internet.

Dus niks mis met iets anders gebruiken dan chrome, alleen maar goed voor het grotere geheel.

[DonJunior]

Mijn punt is meer dat de reacties onder artikelen zoals dit een beetje eentonig beginnen te worden.
Als er iets met een browser, bank of, weet ik veel welk bedrijf, aan de hand is zijn er altijd wel een paar jojo's die moeten aanstippen dat ze "precies hierom" een alternatief gebruiken. Pretenderend alsof dat alternatief nooit issues heeft en zoveel keer beter is dan..
Snap niet zo goed waar dat nou voor nodig is, die reacties dan.

[thomas_n]

Je mist het punt, volgens mij. Er wordt niet gezegd dat Firefox beter is dan Chrome, of dat zoiets bij Firefox niet zou gebeuren. Het punt is dat de gevolgen van een kwetsbaarheid zoals deze minder groot zouden zijn als Chromium-browsers minder alomtegenwoordig waren. Monocultuur maakt dergelijke kwetsbaarheden krachtiger, omdat in één keer de overgrote meerderheid van de internetgebruikers kwetsbaar is.

[Gwaihir]

En maakt het om diezelfde reden interessanter voor kwaadwillenden om op dergelijke kwetsbaarheden te jagen.

Daar staat dan wel weer tegenover dat ook security onderzoekers zich volop op Chromium zullen richten vanwege dat marktaandeel.

[killercow]

exact, maar mensen schieten nogal snel in de stress als je hun browser 'afkraakt', iets wat ik in deze post niet deed.

[CivLord]

Ja, en wanneer Microsoft aankondigt dat ze dit lek ook in Edge hebben gepatcht, krijg je alle reacties dat Edge een k*t browser is en dat je Chrome moet gebruiken...
Sommige fanboys zitten zo op hun springstoel dat ze al reageren voordat ze goed en wel gelezen hebben waar het precies om gaat.

[davince72]

100% eens, als je ook beetje nadenkt zijn we gek dat we Chrome gebruiken. Google krijgt zo veel te veel macht.Ook al zou Chrome iets fijner werken(vind ik niet), dan nog is Firefox een betere keus.

[Cybergamer]

Eider zijn ding. Een paar maten en ik gebruiken Chrome, een andere maat van mij Edge en weer een paar andere Opera GX en dan nog een die zweert bij Firefox...

Variatie is fijn, voor ieder zijn ding.

[davince72]

Nou in dit geval is het juist niet verstandig dat “ieder zijn ding” doet.
Als je bekijkt hoe machtig Google is(en ja ze hebben mooie tools) moet je ze nou ook niet teveel matsen door ook hun browser te gebruiken, dan zit je letterlijk gevangen in het Google web…en je weet waarmee ze hun geld verdienen?
Zoeken, navigeren, YouTube , mail…dus hetgeen waarmee we nog beetje invloed hebben is door geen Chrome te gebruiken. Dus even nadenken lijkt me verstandig.

[marhalm]

Ik merk dat veel websites al minder goed onder Firefox werken. Veel invulvelden en knoppen werken niet lekker. Vandaag op anwbcamping.nl over moeten gaan op Edge omdat de pagina half laadt en niet scrolt. Ik merk dit helaas steeds vaker..

[Cerberus_tm]

Heb je het ook geprobeerd in een nieuw, blanco profiel in Firefox zonder extensies? Je kunt dit ook doen via "Help → Troubleshoot Mode". Vaak werkt de pagina dan opeens wel, kwam het toch door dingen in je profiel.

[atthias]

ontzettend mooi /s

daarom gebruik ik ook firefox al maak ik me grote zorgen over het voortbestaan daarvan

[L0g0ff]

Ik maak me ook zorgen. Zeker omdat het gros van de inkomsten gesponsord wordt door Google.

Hierdoor kan Mozilla niet de default search engine aanpassen naar een privacy vriendelijker alternatief en als Google besluit de stoppen met de funding dan is het exit Firefox.

[atthias]

jep en mozilla's pogingen om naast donaties andere bronnen aan te boren lijken maar matig succes vol

[Byte]

Kan wel kloppen, nu moet ik wel zeggen dat ik met volle tevredenheid gebruik maak van Mozilla Relay. Kost iets meer dan een tientje per jaar en zij verdienen er ook nog iets op!

[atthias]

goed nieuws dan ik zit er ook aan te denken

[bussie66]

Laat vermoedelijk maar weg.

Heb net de update voor Vivaldi binnen waarin verwezen wordt naar deze bug.

[atthias]

dan zal edge hier (W11) binnenkort ook weer aan de beurt zijn

[willieverhoef]

Of die moet een andere javascript engine gebruiken.

[atthias]

ik ben niet op de hoogte van enige chronium based browser die dat doet?

[dixet]

De bug zit in de Javascript engine. Die is onderdeel van Chromium dus dat klinkt waarschijnlijk.
Ik zou het netjes vinden van Tweakers als ze daar wat explicieter over zouden zijn.

[angelina]

En wellicht nodejs

[beerse]

Chromium (via chocolatey) wordt bij mij zojuist bijgwerkt naar chromium v112.0.5615.87. Dat is nog net niet de beoogde ....121.

En ja, daarna komen de andere browsers en ook ChromeOS (nu bij mij nog up-to-date met 112.0.5615.62)

[update] choclatey vanmorgen: chromium v112.0.5615.121.
Daarmee zullen alle andere Chrome/Chromium gebaseerde systemen hier achteraan komen.

Mijn ervaring met chrome updates, hoe meer ik er op let: Chrome -> Chromium -> rest. Al is het wel afhankelijk wanneer/hoe je kijkt: Er hoeft niet veel tijd te zitten tussen updates. Geef het een dag en de update is de wereld rond gegaan.

[Reactie gewijzigd door beerse op 24 juli 2024 22:24]

[Keypunchie]

Een slecht onderdeel van Chrome updates vind ik dat er (voor zover ik weet) geen of nauwelijks auto-herstarts plaats vinden. En dat terwijl de browser in principe prima zijn ‘state’ voor de rest kan bewaren.

Ken genoeg mensen waarbij het weken kan duren voordat ze een keer de browser herstarten.

[oef!]

Firefox vereist verplichte restarts in Mint Linux.
Ik kan je verzekeren dat de herstart altijd op een ongelegen moment komt en het simpelweg een reden is om Firefox niet meer te gebruiken.

[beerse]

Onder linux is een herstart van de hele machine in principe niet nodig. De bestanden kunnen gewoon live worden vervangen. Het is alleen dat de processen zelf 'even' moeten worden herstart. En zelfs dat gebeurt onder water c.q. on the fly. En ja, als de kernel moet worden herstart en dat niet 'on the fly' kan, dan herstart de hele machine....

Dat een distributie een systeem herstart wenst is dan vooral om te forceren dat alles een beetje in sync wordt herstart. Dat heeft mogelijk te maken met de manier waarop de software wordt rondgestuurd. Zaken als containers en flatpack en zo kan daar van invloed zijn.

[oef!]

De browser moet herstart worden.
Niet Linux. Normaal is dat geen issue, een chromium gebaseerde browser herstart snel en op het moment dat je dat wil.

Maar Firefox stopt letterlijk met werken als deze (ongevraagd) geüpdatet is onder Mint. Dit is slecht gedrag.

[atthias]

op windows nooit last van is dat specefiek voor lunix?

[jmvdkolk]

Op Windows heb ik hier ook last van als Bitdefender Firefox update.

[atthias]

Gebruik zelf Windows Defender en laat Firefox verder zelf de updates doen dus geen third party app/policy

Heb zelfs Firefox zo ingesteld dat het altijd zo snel mogelijk een update binnen moet halen nog nooit forced restart meegemaakt

[jmvdkolk]

Dat zou ook mijn keuze zijn. Mijn IT-afdeling denkt daar anders over. Die hebben Bitdefender GravityZone aangeschaft. Bitdefender GravityZone en Firefox zijn geen gelukkig huwelijk. Eerlijk gezegd vind ik Bitdefender GravityZone als geheel een heel slecht product. De anti-virus en anti-malware componenten zijn goed, maar de rest is bagger (in mijn ogen).

[atthias]

duidelijk dan zou ik proberen daar met de IT afdeling over in gesprek gaan maar goed vraag me af of ze bereid zullen zijn voor de paar firefox gebruikers van AV te veranderen

[jmvdkolk]

Dat gesprek ben ik begonnen zodra de eerste negatieve effecten van Bitdefender GravityZone zichtbaar werden. Helaas wil IT het gesprek niet voeren. Applicaties die het spontaan niet meer doen, en spontane requests voor reboots zijn voor mijn IT afdeling geen probleem. Ik heb daar een andere mening over.

[atthias]

dan houd het op helaas inderdaad jammer

[Dutch_CroniC]

Reboots.. first world problems.
Zoveel tijd kost dat tegenwoordig niet meer. En pak ondertussen wel een kopje koffie voor mij en collega.

[Kevin1Smid]

Dan moet je wel rennen voor de koffie tegenwoordig, ik zit nu zonder fast boot op 7 seconden. Met dit soort boot tijden is het echt geen issue meer, ik zet zelfs alles uit voor ik pauze ga houden alle dingen starten toch automatisch weer op en dan kan je binnen een minuut weer verder.

[jmvdkolk]

Ik denk dat jij op één lijn zit met mijn IT team. Reboots kosten meer tijd dan de pure reboot. Voordat ik weer verder kan, met alle schermen weer op de juiste plek op het scherm en alles weer gestart moet je ook meetellen. En dan nog dat je uit je zone gehaald bent. In het kader van efficient werken is dit killing, zeker als je veel taken wilt afronden.

[Dutch_CroniC]

Ik hoef niet elke keer mijn schermen opnieuw te orderenen en gewoon de gewenste programma's in de opstart map en je hebt bijna geen omkijken meer na.

En je hoeft het natuurlijk niet persé direct na een updatetje te doen, maar bv aan het einde van de dag zodat je de volgende ochtend gelijk weer verder kan.

[jmvdkolk]

De programma's worden automatisch opnieuw gestart. Maar niet alle bestanden waar ik aan werkte. En voor zover de bestanden wel geopend worden, kom ik niet terug op de plek waar ik gebleven was.

Bitdefender installeert de updates automatisch, daar heb ik geen invloed op. Rebooten doe ik gedwongen omdat sommige updates zorgen dat applicaties het niet meer doen. Had ik maar de keuze om te wachten tot het einde van de dag.

Btw, als het aan mijn IT ligt, dan zet ik mijn laptop iedere dag uit. Dat is al sinds Windows XP niet meer nodig, gelukkig. Mijn privé computers herstart ik één keer per maand (Windows) of nog minder vaak (Apple). Voor Windows is er nog wel een enkele keer dat er een urgente update tussendoor komt, maar niet iedere maand. Mijn werklaptop herstart ik helaas zo'n drie a vier keer per week omdat Bitdefender GravityZone zo vaak de boel sloopt.

[commentator]

ja precies. Eigenlijk zou Chrome in dit soort kritische gevallen na x tijd een melding te geven zelf even zichzelf moeten afsluiten en weer opstarten.

Zijn er eigenlijk cmd line parameters om Chrome te laten updaten en te laten afsluiten?

[beerse]

Van zowel chrome als ook firefox weet ik dat ze dat in de standaard/basis installatie doet. Onder msWindows draaien voor beide apparte executables om deze updates te begeleiden/sturen. En omdat browsers tegenwoordig meerdere losse processen gebruiken kunnen die redelijn onopvallend voor de gebruiker worden bijgewerkt en herstart. Maar als het via exotische wegen is geïnstalleerd en/of wordt gecontroleerd, dan kan de eigen update worden afgesloten/afgebroken/...

[telenut]

Volledig eens! Nu, door al maandelijks te forceren dat pc's moeten herstarten los je dit ook deels op. Echter is een maand soms lang voor een Zero day...

[Tonkie1967]

Volledig eens! Nu, door al maandelijks te forceren dat pc's moeten herstarten los je dit ook deels op. Echter is een maand soms lang voor een Zero day...

ik sluit practisch elke dag (werkdag) mijn laptop af en boot up de volgende ochtend. Dat kost idd wel wat tijd maar vindt dat het meer dan waard. Eventueel gebruik ik boot time en/of de traagste apps startup tijd om een cappuccino te halen.
Afsluiten aan het einde vd dag helpt me ook om te checken dat ik edits in emails of diverse web applicaties afsluit/afmaakt: in het verleden vaak genoeg gehad dat ik webpagina open liet in edit oid terwijl ik dacht dat ik die bepaalde case had afgehandeld... Afsluiten aan het einde vd dag voorkomt dit in de meeste gevallen

[jmvdkolk]

Ik snap dat dit voor velen werkt. Voor mij is dagelijks mijn laptop afsluiten een crime. Ook al doet mijn IT zijn best om mij tot dagelijkse reboots te dwingen, vanuit security perspectief. Mijn "geheugen" staat open op mijn laptop. Veel taken die even tussendoor moeten, tussen de grote taken door. Die kleine taken gebeuren niet meer als ik dagelijks moet rebooten.

Gelukkig heb ik zelf nooit last van vergeten saves en afslutien van dingen. Ik probeer het aantal openstaande taken wel te minimaliseren en ben zeer georganiseerd daarin.

[Tonkie1967]

Helemaal mee eens dat het lang niet altijd een oplossing is. Collega van mij heeft een boot time van zon 20 minuten maar krijgt nu nieuwe laptop omdat de huidige nog maar 3 maanden garantie/support heeft dus vervangen goedkoper dan re-image nu en dan in 3-4 maanden alsnog vervangen.(laptop wordt na support periode vervangen ook al maken we zr zelf... Prosupport voorbij=vervangen)

[jmvdkolk]

20 minuten boot time is wel heel heftig

Wel fijn dat ze hem nu vervangen en niet eerst nog re-imagen enzo. Dat heb ik ook wel zien gebeuren in andere organisaties.

[beerse]

Het is een beetje afhankelijk van je systeem en de instellingen. Ongeveer sinds msWindows 8 of zo is het afsluiten van een draaiend systeem en het daarna weer opstarten geen herstart. De term is 'hybernation'. Als dat is geactiveerd (msWIndows tegenwoordig standaard) dan is een shutdown/boot geen vervanging van een reboot.

Om hybernate uit te zetten: `powercfg /hibernate off`

[.oisyn]

En dat terwijl de browser in principe prima zijn ‘state’ voor de rest kan bewaren.

Maar dat doet hij helemaal niet bij een update, alle sites worden opnieuw geladen. Het is ook heel lastig de state te bewaren terwijl de onderliggende code wordt aangepast. In een geval als dit zou dat ook kunnen betekenen dat de bug al is opgetreden en dat de patch dus weinig effect heeft voor al draaiende tabs.

[R4gnax]

Benieuwd of Valve dit in de Steam client gaat bijwerken met een back-port.
Aangezien die op het moment nog op Chromium 85 vastzit.

[mschol]

ik snap sowieso niet dat ze chromium in steam niet gewoon bijwerken.. de app wordt wekelijks zowat wel bij gewerkt, waarom chromium niet meenemen?

[R4gnax]

Het lijkt er op dat Valve het build systeem voor SteamOS en derhalve de Linux versie van de Steam client, ingericht heeft op Debian v8 'Jessie.' (Ja; stokoud. Inderdaad.) Deze gebruikt nog een serie 3 Linux kernel (ja; stokoud) en Chromium v86+ heeft klaarblijkelijk een hogere kernel nodig om te kunnen compileren.
Dus wat krijg je dan?
Ja; een stokoude (2.5 jaar and counting) Chromium v85 met evt. backported security patches, als je geluk hebt. Want stel je voor dat Valve eens iets anders doet dan eenheidsworst voor iedereen, en Windows clients gewoon een courante Chromium geeft.

Dat Windows 7 een limiet is die hun tegenhoudt, zoals het recente artikel dat ze publiceerden over het intrekken van Windows 7 ondersteuning in 2024 suggereert, is ook reine onzin.
Want als dat het probleem daadwerkelijk was, zat de Windows versie van Steam al lang en breed op Chromium 109 - de meest recente versie die nog ondersteuning voor Windows 7 biedt.


Niet voor niets dat ik hier mijn vraagtekens stel bij het feit of Valve een patch zal backporten naar de Steam Client. Kans zit er dik in dat ze dat zelfs voor een actief misbruikte exploit niet gaan doen. Hun upgrade-beleid is 120% poep. Hoog tijd, wat dat betreft, dat ze van de autoriteiten een flinke staal-getipte laars in hun reet geschopt krijgen.

[Reactie gewijzigd door R4gnax op 24 juli 2024 22:24]

[epias]

Als ik dit soort berichten lees denk ik altijd, vanaf welke versie zit dit probleem er nu in? Waarom staat deze informatie er nooit meer bij. Als dit een paar versies geleden is gecreëerd, zou ik daar ook niet mee te koop willen lopen.

Waarom worden deze problemen bijna altijd gefixed met een major versie update? Het is allemaal wel heel toevallig.

[Jim80]

type confusion

Dat vat programmeren in Javascript zowat samen...

[R.Spaghetti]

Het wordt tijd om te beginnen met hoofdstuk 2 van het grote javascript handboek.

[gimbal]

Daarom Typescript. Alleen heeft die weer zo'n complex type systeem dat ik alsnog in de war raak.

[hiekikowokan]

typfoutje in de titel

[batjes]

De CVE in het bericht klopt niet(helemaal).

December 5, 2022
Microsoft has released the latest Microsoft Edge Stable Channel (Version 108.0.1462.42). This update contains a fix for CVE-2022-4262, which has been reported by the Chromium team as having an exploit in the wild. For more information, see the Security Update Guide.

*mompelt iets over project Zero en een 90 dagen grens

[Reactie gewijzigd door batjes op 24 juli 2024 22:24]

[Jorick]

De link in dit artikel verwijst naar de verkeerde CVE. Waar jij naar verwijst en waar dit artikel over gaat zijn twee verschillende CVE's (2022-4262 en 2023-2033). Ik begrijp ook niet waar je gemompel over gaat, die grens van 90 dagen is nog lang niet van toepassing.

[batjes]

Ja dat het mogelijk de verkeerde CVE was, gaf ik volgens mij in mijn eerste zin al aan.

Dat gemompel, CVE2022-4263 is praktisch hetzelfde probleem als deze security bug. En als volgens Tweakers dit hetzelfde probleem is, zijn we heel wat verder dan 90 dagen sinds december 2022.

[Jorick]

Waar maak jij uit op dat dit hetzelfde probleem is en niet een vergelijkbaar probleem? Want de crbug die gelinkt is aan CVE-2023-2033 is nog niet toegankelijk waardoor niet is vast te stellen of het om dezelfde bug gaat of dat het om een vergelijkbare bug elders gaat.

[batjes]

Dit Tweakers artikel
Vanwege de foute(?) link..

Beide zijn type confusions. Ik heb me er niet verder in verdiept en alleen de CVE's even opgezocht en kwam dat tegen.

[Reactie gewijzigd door batjes op 24 juli 2024 22:24]

[Keypunchie]

Ach, zo was er ook https://nvd.nist.gov/vuln/detail/CVE-2022-3723

Blijkbaar komen Type Confusion Bugs wel vaker voor in Chrome.

Lijkt me dat dit gewoon een gloednieuwe is, hoor.

[jmvdkolk]

De link in het artikel is naar een "oude" CVE. Dit is de correcte link: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-2033

Helaas nog geen update beschikbaar voor Microsoft Edge (niet heel verrassend natuurlijk).

[willemb2]

Nu iig wel 112.0.1722.48

[jmvdkolk]

Dank je wel. Ik kreeg inderdaad een mail van Microsoft dat er een security update beschikbaar is. Meteen geïnstalleerd.