Google schließt drei schwerwiegende Sicherheitslücken in Chrome 130

Google hat das erste Sicherheitsupdate für Chrome 130 veröffentlicht. Es steht für Windows, macOS und Linux zur Verfügung. Die Entwickler beseitigen drei Schwachstellen, von denen jeweils ein hohes Risiko ausgeht. Betroffen ist unter anderem die JavaScript-Engine V8, was die Vermutung nahelegt, dass eine Remotecodeausführung möglich ist.

Die erste Lücke beschreibt Google in den VersionshinweisenVersionshinweisen als eine fehlerhafte Implementierung in der Komponente Extensions. Laut US-NIST kann ein Angreifer aus der Ferne mithilfe einer speziell gestalteten Erweiterung die Sicherheitsfunktion Seitenisolierung umgehen. Sie soll verhindern, dass Websites auf Inhalte anderer geöffneter Browsertabs zugreifen können.

Zudem stecken in V8 zwei Type-Confusion-Bugs. Beide Schwachstellen lassen sich mit speziell gestalteten HTML-Seiten ausnutzen. Ein Angreifer muss ein Opfer lediglich dazu verleiten, eine von ihm kontrollierte Website zu öffnen – beispielsweise über einen Link in einer E-Mail oder einer Sofortnachricht.

Nutzer sollten zeitnah auf die fehlerbereinigte Version 130.0.6723.69/.70 für Windows und macOS oder 130.0.6723.69 für Linux umsteigen. Der Extended Stable Channel wurde auf die Version 130.0.6723.70 aktualisiert. Die neuen Versionen verteilt Google automatisch über die Update-Funktion von Chrome.