Google schließt in Chrome 58 zahlreiche Sicherheitslücken
von André Westphal | 4 Kommentare
Google verteilt Chrome in der Version 58 jetzt über den Stable-Channel und schließt damit in erster Linie eine ganze Reihe gefährlicher Sicherheitslücken. Das Update soll laut Google ab sofort Windows, macOS und Linux erreichen und nach und nach bei allen Usern eintrudeln. Zumindest die neue Windows-Version kann ich aus erster Hand bestätigen, denn sie kam bei mir heute morgen an. Zwölf Sicherheitslücken wurden geschlossen, drei davon setzten Nutzer zuvor einem hohen Risiko aus.
Ansonsten plaudert Google aktuell wenig zu Chrome 58. Man verweist darauf, dass in den nächsten Tagen noch Blog-Posts mit mehr Informationen erscheinen sollen. Hier ist jedenfalls eine Liste der geschlossenen Sicherheitslücken mit den entsprechenden Belohnungen, welche diejenigen erhalten haben, die darauf hinwiesen:
[color-box color=“gray“ rounded=“1″] [$3000][695826] High CVE-2017-5057: Type confusion in PDFium. Credit to Guang Gong of Alpha Team, Qihoo 360[$2000][694382] High CVE-2017-5058: Heap use after free in Print Preview. Credit to Khalil Zhani
[$N/A][684684] High CVE-2017-5059: Type confusion in Blink. Credit to SkyLined working with Trend Micro’s Zero Day Initiative
[$2000][683314] Medium CVE-2017-5060: URL spoofing in Omnibox. Credit to Xudong Zheng
[$2000][672847] Medium CVE-2017-5061: URL spoofing in Omnibox. Credit to Haosheng Wang (@gnehsoah)
[$1500][702896] Medium CVE-2017-5062: Use after free in Chrome Apps. Credit to anonymous
[$1000][700836] Medium CVE-2017-5063: Heap overflow in Skia. Credit to Sweetchip
[$1000][693974] Medium CVE-2017-5064: Use after free in Blink. Credit to Wadih Matar
[$500][704560] Medium CVE-2017-5065: Incorrect UI in Blink. Credit to Khalil Zhani
[$500][690821] Medium CVE-2017-5066: Incorrect signature handing in Networking. Credit to chenchu
[$500][648117] Medium CVE-2017-5067: URL spoofing in Omnibox. Credit to Khalil Zhani
[$N/A][691726] Low CVE-2017-5069: Cross-origin bypass in Blink. Credit to Michael Reizelman [/color-box]
In deutscher Sprache findet ihr auch hier ein paar zusätzliche Infos zu den geschlossenen und auch noch offenen Sicherheitslücken. So gab es insgesamt in Chrome vor der Version 58.0.3029.81 nämlich 29 Schwachstellen. Google weist nur auf die zwölf geschlossenen hin. Dass man wiederum Details zu den noch offenen Lücken nicht an die große Glocke hängen möchte, ist auch verständlich. Schließlich will man potentiellen Angreifern nicht auch noch in die Hände spielen.
Die schlimmsten Sicherheitslücken hätten Angreifern das Ausführen beliebigen Programmcodes ermöglicht und auch der Durchführung von Denial-of-Service (DoS)-Angriffen sowie der Darstellung falscher Informationen Tür und Tor geöffnet. Solltet ihr Chrome oder die offene Variante Chromium nutzen, checkt definitiv einmal, ob das Update bei euch eintrudelt. Mein Browser wurde wie gesagt bereits heute morgen zur neuen Version gehievt.
Wird geladen ...
Ach mist. Hat noch wer mit nem Synology-NAS über HTTPS mit selbst erstelltem Zertifikat nun unter Chrome 58 die Meldung, dass keine sichere Verbindung möglich ist. Ich hatte deswegen von der 58 Beta auf die 57 zurückgewechselt. Hat wer ne Lösung?
@zwergchief: Du kannst dir auf der NAS ein Lets Encrypt ausstellen lassen, das in Chrome problemlos anerkannt wird.
@Daniel Ja, ich weiss, aber leider nur auf ne Domain. Das NAS ist aber nicht aus dem Internet erreichbar, also wird nur über die lokale IP angesprochen und für diese kann ich so ja kein Zertifikat erstellen
Okay, ich habe auf golem gelesen, dass Chrome 58 nicht den Common-Name, sondern den SubjectAltName benutzt, den ich leider damals bei der Zertifikatserstellung nicht mit angegeben hatte. Mit einem neu erstellten Zertifikat klappts nun, wie vorher!