Google schließt Zero-Day-Lücke in Chrome 137

Google hat ein weiteres Sicherheitsupdate für Chrome 137 veröffentlicht. Es steht für Windows, macOS und Linux zur Verfügung und beseitigt drei Schwachstellen. Von mindestens einer Anfälligkeit geht ein hohes Risiko aus. Google warnt zudem, dass die Anfälligkeit bereits aktiv von Hackern ausgenutzt wird.

Die Sicherheitslücke mit der Kennung CVE-2025-5419 steckt in der JavaScript-Engine V8. Die Bewertung „hoch“ legt nahe, dass ein Angreifer kann unter Umständen Schadcode aus der Ferne einschleusen und innerhalb der Sandbox des Browsers ausführen. Google zufolge wurde der Fehler durch eine Konfigurationsänderung behoben, die bereits seit 28. Mai über den Stable-Channel von Chrome an alle Plattformen verteilt wird.

Details nennt Google noch zu einem weiteren Speicherfehler. In der Browserengine Blink wurde ein Use-after-free-Bug entdeckt, von dem ein mittelhohes Risiko ausgehen soll. Der Sicherheitsforscher, der den Fehler gemeldet hat, wurde mit einer Prämie von 1000 Dollar belohnt.

Nutzern erhalten ab sofort die fehlerbereinigte Version 137.0.7151.68/.69 für Windows und macOS. Unter Linux wird Chrome auf die Version 137.0.7151.68 aktualisiert. Google zufolge wird das Update schrittweise in den kommenden Tagen und Wochen verteilt. Eine manuelle Aktualisierung ist über den Punkt „Über Google Chrome“ im Hilfe-Menü des Browsers möglich. Zum Abschluss der Installation muss Chrome neu gestartet werden.