Google schließt kritische Sicherheitslücke in Chrome

Google hat seinen Browser Chrome auf die Version 57.0.2987.133 aktualisiert. Das Update schließt fünf Sicherheitslücken, von denen das Unternehmen eine als kritisch einstuft. Die höchste Risikostufe vergibt Google nur sehr selten und nur für Anfälligkeiten, die es einem Angreifer erlauben, Schadcode einzuschleusen und auch außerhalb der Sandbox auszuführen. Eine ähnliche Schwachstelle hatte Google zuletzt im Februar 2016 beseitigt.

Die aktuelle kritische Lücke steckt in der Druckfunktion des Browsers. Konkret handelt es sich um einen Use-after-free-Bug, den der französische Sicherheitsforscher Wadih Matar entdeckt hat. Die Belohnung für Matar beläuft sich auf 9337 Dollar.

Weitere 3000 Dollar zahlte Google an Nicolas Trippar von Zimperium Labs für einen Heap-Pufferüberlauf in der JavaScript-Engine V8. Von diesem Bug soll ein hohes Risiko ausgehen. Dieselbe Einstufung gilt für ein Sicherheitsleck in der Browserengine Blink, das der Forscher JeongHoon Shin gefunden hat. Seine Arbeit belohnte Google mit 1000 Dollar.

Darüber hinaus stopft Google ein weiteres Loch in Blink, das ein anonymer Forscher gemeldet hat. Das Update korrigiert aber auch einen Out-of-Bounds-Speicherzugriff in V8. Diese Schwachstelle meldete das Team Sniper des chinesischen Sicherheitsanbieters Tencent Security ursprünglich der Trend-Micro-Tochter Zero Day Initiative – allerdings nicht im Rahmen des kürzlich veranstalteten Hackerwettbewerbs Pwn2Own. Die Prämien für den anonymen Forscher und Team Sniper hat Google noch nicht festgelegt.

Chrome 57.0.2987.133 steht für Windows, Mac OS X und Linux zur Verfügung. Das Update soll in den kommenden Tagen automatisch über die Update-Funktion an alle Nutzer des Google-Browsers verteilt werden. Möglicherweise wird für den Abschluss der Installation ein Neustart des Browsers benötigt. Das neue Release kann aber auch von der Google-Website heruntergeladen werden.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.