Google schließt kritische Sicherheitslücke in Chrome

Stefan Beiersmann,
Chrome (Bild: Google)

Ein Angreifer kann unter Umständen Schadcode außerhalb der Sandbox ausführen. Google stopft das Leck innerhalb von zehn Tagen.

Google hat die finale Version von Chrome 103 zum Download freigegeben. Das Update enthält neben neuen Funktionen auch Fixes für 14 Anfälligkeiten. Darunter ist eine kritische Sicherheitslücke. Sie erlaubt unter Umständen das Einschleusen und Ausführen von Schadcode außerhalb der Sandbox.

Fehler, die einen sogenannten Sandbox Escape ermöglichen und somit auch das Betriebssystem betreffen, sind in Chrome äußerst selten. Bei der Schwachstelle mit der Kennung CVE-2022-2156 handelt es sich um einen Use-after-free-Bug in der Komponenten Base. Entdeckt wurde er von Mark Brand, einem Mitarbeiter von Googles Project Zero. Den Versionshinweise zufolge ist der Fehler erst seit 11. Januar 2022 bekannt.

Von zwei weiteren Bugs geht ein hohes Sicherheitsrisiko aus. In der Komponente Interest Groups steckt ebenfalls ein Use-after-free-Bug. Darüber hinaus ist die Javascript-Engine V8 von einem Type-Confusion-Bug betroffen. Beide Schwachstellen wurden von externen Forschern gemeldet, deren Arbeit Google mit Prämien in Höhe von 20.000 beziehungsweise 7500 Dollar belohnt.

Chrome 103 beschleunigt das Laden von Websites

Darüber hinaus beschreibt Google noch sechs gestopfte Sicherheitslöcher mit einem mittleren oder niedrigen Sicherheitsrisiko. Angreifbar in Chrome 102 und früher sind unter Umständen die Komponenten DevTools, WebApp Providcer, File System API, Cast UI und Toolbar sowie Extensions und URL Formatting. Für diese Bugs schüttet Google weitere 16.500 Dollar als Belohnung aus.

Neu in Chrome 103 ist die Unterstützung für den HTTP Response Code 103 Early Hints. Diese Funktion beschleunigt das Laden von Websites. Darüber hinaus stehen interessierten Nutzern neue Origin Trials zum Testen zur Verfügung. Dabei handelt es sich um neue Funktionen für Web-Standards – Aufgabe von Nutzern ist es, mit Rückmeldungen zur Nutzbarkeit und Effektivität deren Entwicklung zu beschleunigen. Mehr Informationen hält Google im Chrome Origin Trials Dashboard bereit.

Chrome 103 ist für Windows, macOS und Linux erhältlich. Nutzer, die den Browser bereits installiert haben, erhalten das Update automatisch. Möglicherweise muss Chrome neu gestartet werden, um die Aktualisierung abzuschließen.