Google hat am 10. September 2019 die Stable Version Chrome 77.0.3865.75 für Windows, macOS und Linux freigegeben. Das Update schließt nach Angaben des Chrome-Releases-Blogs 54 Sicherheitslücken und soll in den kommenden Tagen und Wochen an alle Nutzer ausgerollt werden.
Als kritisch stuft Google zwei Use-after-free-Fehler ein: CVE-2019-5870 im Medien-Subsystem, gemeldet von Guang Gong vom Alpha Team bei Qihoo 360 und mit 30.000 US-Dollar Bug-Bounty dotiert, sowie CVE-2019-13766 in der Barrierefreiheitskomponente, gemeldet von Pawel Wylecial von REDTEAM.PL. Zu den Lücken mit hohem Risiko zählen ein Out-of-bounds-Zugriff in V8, ein Use-after-free in Mojo und ein Same-Origin-Policy-Umgehungsfehler, den Microsoft Browser Vulnerability Research meldete.
Chromium übernimmt die Sicherheitskorrekturen
Die Korrekturen fließen in das freie Projekt Chromium ein, das als Codebasis mehrerer Browser dient. Für Entwicklungsteams, die Web-Oberflächen, Webspiele oder Update-Infrastruktur über Chromium-Derivate testen, wirkt sich das Update direkt auf die QA- und Testumgebungen aus. Google hält Einzelheiten zu den meisten Fehlern zurück, bis ein Großteil der Nutzer die neue Version installiert hat, um Angreifern keine Angriffsflächen zu liefern. Einzelheiten nennt die Chrome Security Page.
Die Bug-Bounty-Beträge von 30.000 US-Dollar für den kritischen Fehler zeigen, wie aktiv die Forschungs-Szene um den Browser ist. Bereits 2018 hatte ein Sicherheitsforscher gleichartige Speicherfehler in einer populären Chrome-Erweiterung dokumentiert. Für die breite Nutzerbasis von Chrome und seinen Ablegern bleibt der schnelle Update-Zyklus damit der zentrale Schutzmechanismus. Das betrifft auch Microsoft Edge, dessen Wechsel auf den Chromium-Code Microsoft im Dezember 2018 ankündigte und der die selben Sicherheitskorrekturen übernimmt.