Google heeft een omvangrijke beveiligingsupdate voor Chrome uitgebracht waarmee 213 kwetsbaarheden in de browser worden verholpen. Zeven daarvan zijn als kritiek aangemerkt, omdat aanvallers er op afstand code mee kunnen uitvoeren op het systeem van een gebruiker. Volgens de beschikbare informatie meldt Google geen actief misbruik van de kwetsbaarheden.
De update is relevant voor zowel organisaties als particuliere gebruikers, omdat Chrome op grote schaal wordt gebruikt en browserlekken vaak een direct aanvalspad vormen. Bij de kritieke problemen is het bezoeken van een gehackte of malafide website, of het te zien krijgen van besmette advertenties, voldoende om een aanval mogelijk te maken. Er is daarbij geen verdere interactie van de gebruiker vereist.
Zeven kritieke kwetsbaarheden maken remote code execution mogelijk
De ernstigste lekken in deze patchronde maken remote code execution mogelijk. Dat betekent dat een aanvaller onder voorwaarden eigen code kan laten draaien op het systeem van het slachtoffer. In de praktijk kan dat bijvoorbeeld worden gebruikt om malware uit te voeren. De broninformatie vermeldt geen technische details over de afzonderlijke kwetsbaarheden, zoals specifieke componenten of CVE-nummers.
Bij browserkwetsbaarheden met deze impact is de aanvalsdrempel relatief laag: de browser verwerkt voortdurend webcontent, scripts, advertenties en mediabestanden van uiteenlopende herkomst. Als een kwetsbaarheid in dat verwerkingsproces kan worden misbruikt, kan een aanvaller soms volstaan met het lokken van een gebruiker naar een besmette pagina of het tonen van schadelijke advertentiecontent via een gecompromitteerd advertentiekanaal.
AI speelde rol bij vondst van meerdere lekken
Veertien van de gemelde kwetsbaarheden werden gevonden en gerapporteerd door een onderzoeker van AI-bedrijf Anthropic. Daarbij werd AI-chatbot Claude gebruikt. De broninformatie vermeldt niet welke van deze veertien kwetsbaarheden tot de kritieke categorie behoren.
Opvallend is dat vijf van de zeven kritieke kwetsbaarheden deze keer aan externe onderzoekers worden toegeschreven. Volgens de melding worden kritieke problemen in Chrome in veel gevallen door Google zelf gevonden, maar in deze patchronde kwam een groot deel van de ernstigste bevindingen dus van buiten het bedrijf.
Tegelijkertijd was Google over het geheel genomen verantwoordelijk voor het grootste aantal ontdekkingen: 130 van de 213 verholpen beveiligingslekken werden door het techbedrijf zelf gevonden. Google had eerder al aangegeven dat AI bijdraagt aan het grote aantal ontdekte problemen in Chrome. Deze patchronde past in dat beeld, maar de beschikbare informatie maakt niet duidelijk welke interne vondsten precies met AI-ondersteuning zijn gedaan.
Nieuwe Chrome-versies voor Windows, macOS en Linux
Voor Windows en macOS is Chrome 157.0.8103.38/.39 beschikbaar gesteld. Voor Linux is versie 157.0.8103.38 verschenen. Op de meeste systemen zal Chrome automatisch worden bijgewerkt, maar dat proces kan enkele dagen duren. Gebruikers die de update meteen willen installeren, moeten handmatig controleren op updates.
Voor organisaties is vooral de uitrolsnelheid van belang. Een browser is vaak een van de meest blootgestelde applicaties op werkplekken, omdat medewerkers er voortdurend externe content mee openen. Wanneer een update gefaseerd wordt uitgerold, kunnen systemen tijdelijk kwetsbaar blijven. Dat geldt des te meer wanneer er kritieke kwetsbaarheden zijn die zonder extra gebruikersinteractie kunnen worden misbruikt.
Nog geen update voor Microsoft Edge gemeld
Microsoft Edge is, net als Chrome, gebaseerd op Googles Chromium-browser. Volgens de broninformatie was er op het moment van berichtgeving nog geen update voor Edge beschikbaar. Dat betekent niet automatisch dat alle kwetsbaarheden op dezelfde manier in Edge aanwezig of misbruikbaar zijn, maar Chromium-problemen kunnen ook gevolgen hebben voor andere browsers die op dezelfde basis zijn gebouwd.
Voor beheerders van omgevingen waarin meerdere browsers worden gebruikt, is het daarom belangrijk om niet alleen Chrome te volgen, maar ook updates voor Chromium-gebaseerde alternatieven. De broninformatie noemt specifiek Edge, maar doet geen uitspraken over andere browsers.
Analyse: grote patchrondes onderstrepen belang van browserbeheer
Google heeft dit jaar al meerdere Chrome-updates uitgebracht waarbij meer dan tweehonderd kwetsbaarheden werden verholpen. Dat wijst niet per definitie op een onveiliger product; het kan ook betekenen dat er meer wordt gevonden door verbeterde testmethoden, interne analyse en externe onderzoekers. De inzet van AI bij kwetsbaarheidsonderzoek lijkt daarbij een steeds zichtbaardere rol te spelen.
Voor gebruikers verandert de praktische conclusie nauwelijks: een niet-bijgewerkte browser blijft een aantrekkelijk doelwit. Omdat sommige aanvallen via webpagina’s of advertenties kunnen verlopen, is voorzichtig klikgedrag alleen niet voldoende als bescherming. Tijdig patchen blijft de belangrijkste maatregel zodra een leverancier beveiligingsupdates publiceert.
Google meldt voor deze kwetsbaarheden geen misbruik in het wild. Dat is belangrijk, maar geen reden om de update uit te stellen. Zodra details over kwetsbaarheden breder beschikbaar komen, kunnen aanvallers proberen de fixes te analyseren en daaruit werkende exploits af te leiden. Zeker bij kritieke browserlekken is snelle installatie daarom essentieel.
Bron: security.nl
