Google herstelt lek in Chrome dat actief wordt misbruikt

Google heeft donderdag een fix uitgebracht voor zijn browser Chrome. Het bedrijf erkent dat een lek inmiddels actief is misbruikt. Door wie en op welke schaal zegt de browserbouwer niet. De nieuwe versie is 140.0.7339.185.

De varianten voor Windows en Mac zijn uitgekomen, de versie voor Linux komt in de komende weken uit, zegt Google. Het gaat om een zerodaykwetsbaarheid met als CVE-nummer CVE-2025-10585. Daarover zijn verder nog geen details bekend. Googles eigen Threat Analysis Group ontdekte het lek afgelopen dinsdag.

Het gaat om een typeconfusionbug in JavaScript-engine V8. Een dergelijke bug stelt een aanvaller via een kwaadaardige website in staat om de browser te misleiden door de browser te laten geloven dat een stuk code een ander type data is dan het in werkelijkheid is. Het is onbekend wanneer er meer details naar buiten komen over het lek.

Reacties (16)

[R4gnax]

Het gaat om een 'type confusion'-bug in Javascript-engine V8.

Maw dit treft niet alleen Chrome, Chromium of elk stuk software dat van embedded Chromium gebruik maakt (alles Electron; alles Edge Webview waaronder MS Teams; Steam; etc.) maar ook elk stuk software dat enkel van de V8 JavaScript engine gebruik maakt. (Alles Node.js; wederom alles Electron; en diverse video-games die V8 voor scripting doeleinden gebruiken.)

En waarschijnlijk zal een groot deel daarvan - zeker een heleboel video-games - nooit gepatched worden.

[Reactie gewijzigd door R4gnax op 18 september 2025 21:07]

[erikieperikie]

Hoe zou je een videogame hiermee kunnen aanvallen? Het artikel schrijft dat je op een kwaadaardige website moet zitten, wat ik interpreteer als dat je de kwaadaardige JavaScript moet uitvoeren. Hoe ga je dat als aanvaller doen via een game? Via Steam snap ik het nog wel. Via allerlei Chromiumapplicaties ook. Maar via een game? Misschien een game waarin je in JS geprogrammeerde dingen van anderen kunt uitvoeren?

[gimbal]

Het is een beetje vergelijkbaar met de NPM lekken en supply chain attacks die je nu aan de lopende band ziet. Dit soort security issues bijten hard in het feit dat mensen blind vertrouwen hebben in nieuwe versies van iets. Hoger versienummer = beter, die aanname zit hard ingebakken. Dat bovenop het feit dat Javascript en LUA interpreters al als veiliger gezien worden omdat het sandboxed omgevingen zijn. Niemand gaat ooit nadenken over een patch update van een mod; die worden blind vertrouwd en geïnstalleerd. Of nog erger het gaat helemaal automatisch via een mod manager tool zoals Nexus.

Dus als je een jaar lang blij gebruik maakt van een mod van JantjexXx die hij trouw bijhoudt in zijn zolderkamer en dan ineens versie 10.50.2.3 van die mod komt uit en maakt gebruik van een exploit in de security sandbox van een Javascript of een LUA interpreter... niemand gaat dat doorhebben. Want niemand gaat kijken. Je moet geluk hebben dat die ene held ertussen zit die ook altijd de EULA leest voor op accept te klikken. JantjexXx had het zelf misschien niet eens door en is zelf geraakt doordat hij een library voor mods gebruikt waar de exploit in zit.

Het klinkt niet aannemelijk dat dit in games zou gebeuren en op dit moment is het waarschijnlijk ook nog niet gangbaar, maar dit soort zaken worden steeds meer aantrekkelijk voor misbruik vooral omdat het zo'n hoog gehalte heeft van blind vertrouwen.

[Argantonis]

Dat is alleen niet zo relevant hier, want als iemand al arbitraire code kan pushen in die updates dan kunnen ze sowieso al doen wat ze willen. Het probleem in specifiek een BROWSER is dat het Javascript van websites inlaadt en je dus niet een hele app hoeft te updaten om kwetsbaar te zijn.

[JacOwns7]

Heel iets offtopic, maar Nexus update je mods niet automatisch tenzij je daar een opt-in voor geeft. Sws niet aan te raden omdat mods vaak dependencies hebben die vaak voor/achter lopen. Lijkt me geen leuke troubleshoot als je niet precies weet wat er geupdate is..

[R4gnax]

Het klinkt niet aannemelijk dat dit in games zou gebeuren en op dit moment is het waarschijnlijk ook nog niet gangbaar

Zoek eens op malware in mods voor Cities Skylines. Is de afgelopen jaren al meermalen gebeurd, namelijk.
Daarnaast had je ook nog: https://arstechnica.com/i...hed-in-dota-2-for-months/

[Help!!!!]

Fwiw: Laatste versie windows bij mij is: 140.0.7339.186 (Official Build) (64-bit)

[Reactie gewijzigd door Help!!!! op 18 september 2025 21:42]

[m.z]

macOS of Windows? Namelijk hebben beiden een ander versie-nummer, terwijl in dit artikel maar één wordt benoemd :s

[Help!!!!]

windows

[m.z]

Oké, ik heb even gekeken. Al weet niet of er verschil zit in consumenten en enterprise versie, maar bij deze wat ik terugzie:

Google Chrome (Mac) 140.0.7339.186

Google Chrome (Windows) 140.0.7339.186

Dus, nu zijn de versie wel gelijk. Dit is opvallend, gezien ik normaal (vanuit monitoring) een app aparte versie voor Windows- en Mac-versie detecteer.

update: ik heb het gecontroleerd, de laatste versie is inderdaad .7339.186, maar 7339.185 is vermoedelijk eerder uitgebracht, namelijk detecteer ik .185 versie.


update 2:

Wednesday, September 17, 2025

The Stable channel has been updated to 140.0.7339.185/.186 for Windows/Mac, and 140.0.7339.185 for Linux which will roll out over the coming days/weeks. A full list of changes in this build is available in the Log.

https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html

[Reactie gewijzigd door m.z op 18 september 2025 22:52]

[DarkSunshine]

Kan niet updaten of zoeken

Er is een fout opgetreden bij het ​​zoeken naar updates: Het starten van de updatecontrole is mislukt (foutcode 3: 0X80070422 -- system level).

Meer informatie

Versie 140.0.7339.81 (Officiële build) (64-bits)

[410Gone]

effe browser sluiten en weer openen.

[hotabibber]

Ik heb ook 186 als laatste versie (net bijgewerkt). Betreft hier Windows 11 pro.

[danmark_ori]

" De varianten voor Windows en Mac zijn uitgekomen, de versie voor Linux komt in de komende weken uit, zegt Google. "

Linux Mint 22.2 hier en zojuist is Chromium bijgewerkt met het reguliere 'Bijwerkbeheer' / Update Manager:

Version 140.0.7339.185 (Official Build) for Linux Mint (64-bit)

Hoezo ' in de komende weken ' ?

[AlephNull]

De officiële release pagina van Google Chrome (dus niet Chromium) noemt ook dat versie 140.0.7339.185 beschikbaar is voor Linux:

http://googlechromereleases.blogspot.com/search/label/Stable%20updates