Google schließt schwerwiegende Sicherheitslücken in Chrome 137

Google hat ein weiteres Sicherheitsupdate für seinen Browser Chrome veröffentlicht. In der Version 137 stecken zwei schwerwiegende Sicherheitslücken. Ein Angreifer kann unter Umständen aus der Ferne Schadcode einschleusen und innerhalb der Sandbox des Browsers ausführen.

Von beiden Anfälligkeiten geht ein hohes Risiko aus. Ein Use-after-free-Bug in der Komponente Media lässt sich über eine speziell gestaltete HTML-Datei ausnutzen. Ein Angreifer muss ein Opfer also lediglich dazu verleiten, eine von ihm kontrollierte Website in Chrome zu öffnen.

Die zweite Schwachstelle beschreibt Google als Type-Confusion-Bug in der JavaScript-Engine V8. Auch hier wird eine Remotecodeausführung mithilfe einer manipulierten Website erreicht.

Beide Lücken wurden von externen Sicherheitsforschern entdeckt. Während der Fehler in Media offenbar direkt an Google gemeldet wurde, wurde der Type-Confusion-Bug in V8 Anfang Juni bei einem Hackerwettbewerb präsentiert.

Nutzer sollten nun zeitnah auf die Version 137.0.7151.103/.104 für Windows und macOS oder 137.0.7151.103 für Linux umsteigen. Die Aktualisierung wird über die Update-Funktion verteilt. Sie lässt sich über den Punkt „Über Google Chrome“ im Hilfe-Menü des Browsers auch manuell anstoßen. Zum Abschluss der Installation muss Chrome neu gestartet werden.