Google: Zweite Chrome-Zero-Day in zwei Wochen
Mit Chrome 86.0.4240.183 patcht Browser-Hersteller Google eine weitere Zero Day, die bereits aktiv ausgenutzt wurde. Insgesamt behebt das Update 10 Sicherheitslücken in Chrome für Mac, Windows und Linux.
In der Aktualisierungsankündigung(öffnet im neuen Fenster) bleibt Google schmallippig: Bei der Sicherheitslücke (CVE-2020-16009) soll es sich um eine "inkorrekte Implementierung" in Chromes Webassembly- und Javascript-Engine V8 handeln. Über eine präparierte HTML-Webseite kann ein Heap-Speicherfehler ausgenutzt und damit Code aus der Ferne ausgeführt werden. Die Zero Day sei am 29. Oktober von Clement Lecigne von Googles Threat Analysis Group und Samuel Groß vom Google-Projekt Zero entdeckt worden. Google seien Berichte bekannt, dass die Lücke bereits aktiv ausgenutzt werde.
Zwei Zero Days in Chrome, eine in Windows
Vor zwei Wochen hatte Google eine weitere Zero Day im Browser geschlossen, die bereits aktiv ausgenutzt wurde. Die Sicherheitslücke in der von Chrome/Chromium verwendeten Freetype-Bibliothek ermöglichte das Ausführen von Schadcode innerhalb das Browsers.
Um aus diesem auszubrechen, verwendeten die Eindringlinge eine weitere, bisher nicht geschlossene Sicherheitslücke im Windows-Kernel. Diese hatte Google vor rund zehn Tagen an Microsoft gemeldet und vor wenigen Tagen veröffentlicht. Microsoft arbeitet derzeit an einem Fix, der zum Patch-Tuesday am Dienstag erwartet wird.
Ob die nun in Chrome/Chromium geschlossene Zero Day ebenfalls in Kombination mit der bestehenden Kernel-Sicherheitslücke in Windows ausgenutzt wurde, ist bisher unbekannt. Dieses sogenannte Chaining von Sicherheitslücken ist nicht unüblich. Im vergangenen Jahr entdeckte Google fünf verschiedene Exploit Chains für iPhones, die aktiv ausgenutzt wurden.
Nachtrag vom 4. November 2020, 12:51 Uhr
Zusätzlich zu den Lücken im Desktop-Browser warnt das Team von Google auch vor einer weiteren Zero-Day-Lücke(öffnet im neuen Fenster) (CVE-2020-16010) in der Android-Version des Chrome-Browsers, die aktiv ausgenutzt werde. Den damit möglichen Ausbruch aus der Chrome-Sandbox hat das Team mit Chrome-Build 86.0.4240.185 für Android(öffnet im neuen Fenster) behoben.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.