Google: Chrome-Bug wird schon ausgenutzt - Patch kam nach einem Tag

Google hat kürzlich seinen Chrome-Browser aktualisiert und die in­zwi­schen nachgeschobenen Informationen zeigen, dass die Installation des Updates dringend geboten ist. Denn eine kritische Schwachstelle wird be­reits aktiv ausgenutzt. Die fragliche Sicherheitslücke mit der Kennzeichnung CVE-2020-15999 entstand aus einem Fehler in der FreeType-Komponente der Browser-Software. Hier konnte über einen Buffer-Overflow fremder Code in ein System geschleust und im Arbeitsspeicher zur Ausführung gebracht werden. Das ermöglicht es zumindest, das jeweilige System auf der Rechtestufe des gerade aktiven Users zu übernehmen und für die eigenen Zwecke zu missbrauchen.

Durchaus spannend ist dabei zu beobachten, wie schnell Google bei Bedarf reagieren kann. Denn das Chrome-Team soll erst am vergangenen Montag von Sergei Glazunov, einem Sicherheits-Forscher aus Googles hauseigenem Project Zero-Team über die Schwachstelle informiert worden sein. Am Dienstag kam dann schon das Update 86.0.4240.111 mit dem entsprechenden Patch für die finalen Browser-Fassungen heraus.

Patches auch für andere Projekte

Der Grund für die Eile liegt auf der Hand: "Google ist sich darüber bewusst, dass Exploits für CVE-2020-15999 in freier Wildbahn exis­tie­ren", erklärte Prudhvikumar Bommana aus dem Entwickler-Team des Browsers. Kon­kre­te­re Erkenntnisse über die beobachteten Angriffe auf Grundlage der Schwachstelle wurden al­ler­dings noch nicht veröffentlicht.

Die Sicherheitslücke in FreeType wurde allerdings nicht von Google verursacht. Die freie Bibliothek zum Rendering von Schrift gibt es schon recht lange und sie kommt auch in anderen Software-Projekten zum Einsatz. Der Patch Googles ist auch an das Projekt zurückgegeben worden, so dass derzeit auch alle anderen Anwendungen, die den Code einbinden, aktualisiert werden können.

Download Google Chrome