Google schließt aktiv ausgenutzte Zero-Day-Lücke in Chrome

Google hat seinen Browser Chrome auf die Version 86.0.0.4240.111 aktualisiert. Sie schließt fünf Sicherheitslücken. Darunter ist eine Schwachstelle, von der ein hohes Risiko ausgeht und die bereits aktiv für Hackerangriffe ausgenutzt wird.

Entdeckt wurde der Fehler laut Google von Sergej Glazunov von Google Project Zero am 19. Oktober. Das Unternehmen beseitigte die Lücke mit der Kennung CVE-2020-15999 demnach innerhalb eines Tages. Sie steckt in der Komponente FreeType und erlaubt das Einschleusen von Schadcode aus der Ferne, der sich anschließend innerhalb der Sandbox des Browsers ausführen lässt.

Weitere technische Details zu der Anfälligkeit oder zu den Hintermännern der Angriffe sind nicht bekannt. Google hält diese Informationen in der Regel zurück, um Nutzern ausreichend Zeit zu geben, ihre Anwendungen zu aktualisieren, ohne dass weitere Cyberkriminelle eigene Exploits in Stellung bringen können.

Allerdings liegt auch ein separater Patch für das Open-Source-Projekt FreeType vor. Da dessen Code frei zugänglich ist, könnten Hacker nun per Reverse Engineering die Änderungen nachvollziehen, was Rückschlüsse auf den zugrundeliegenden Fehler ermöglicht – und damit auch die Entwicklung eigener Exploits in den kommenden Tagen oder Wochen.

Die weiteren Fixes betreffen die Komponenten Blink, Media, PDFium und Printing. Unter anderem beseitigt Google drei Use-after-free-Bugs, die ebenfalls eine Remotecodeausführung ermöglichen.

Nutzer des Google-Browsers sollten über den Punkt „Über Google Chrome“ im Hilfe-Menü prüfen, ob sie bereits die neueste Browserversion installiert haben. Andernfalls lässt sich damit ein automatisches Update anstoßen. Unter Umständen muss Chrome für den Abschluss der Installation neugestartet werden.

In den vergangenen zwölf Monaten musste Google nun schon zum dritten Mal eine Zero-Day-Lücke in Chrome schließen. Zuvor wurde das Unternehmen im Oktober 2019 und im Februar 2020 erst durch Hackerangriffe auf Schwachstellen in seinem Browser aufmerksam.