Chrome 154 schließt 108 Lücken, und keine davon wurde ausgenutzt

Einhundertacht Sicherheitslücken, elf davon kritisch, und kein Hinweis darauf, dass eine davon gegen irgendjemanden eingesetzt wurde. Das ist Chrome 154, also genau die Art von Version, die alle überspringen.

Google hat sie am 22. September in den stabilen Kanal befördert. Die Builds lauten 154.0.8037.57 und .58 für Windows und Mac sowie .57 für Linux. Die Bilanz: 11 kritische, 25 hohe, 47 mittlere und 25 niedrige Einstufungen. Die meisten kritischen Fehler stecken in den Teilen des Browsers, die die Seite zeichnen: drei Pufferüberläufe in der Grafikschicht ANGLE, ein weiterer in WebGL, zwei Schreibzugriffe außerhalb der Grenzen im GPU-Code. Der Rest sind Use-after-free-Fehler in ServiceWorker, Fullscreen, WindowDialog und AdFilter. Externe Forscher meldeten 32 der 108 Lücken und erhielten dafür bisher 18.000 Dollar. Den Rest fanden Googles eigene Leute.

"Noch nicht ausgenutzt" beschreibt einen Moment, keinen Dauerzustand. Sobald ein Patch erscheint, ist die Codeänderung öffentlich, und herauszufinden, was sie repariert, ist Arbeit, die jemand erledigen wird. Der Abstand zwischen einer Chrome-Version und den ersten daraus gebauten Angriffen schrumpft seit Jahren.

Ein praktischer Haken bleibt. Chrome 154 wird über Tage, manchmal Wochen gestaffelt verteilt, Ihre Kopie läuft also womöglich noch auf 153. Und ein Browser, den Sie seit letzter Woche offen haben, führt weiterhin das aus, was er damals geladen hat, ganz gleich welche Version heruntergeladen wurde. Öffnen Sie das Menü, wählen Sie Hilfe und dann Über Google Chrome. Der Browser prüft, lädt herunter und zeigt eine Schaltfläche zum Neustart. Auf diesen Neustart kommt es an. Der Zustandswert von Tendvane berücksichtigt Software, die auf alten Versionen sitzen geblieben ist, und genau so hinkt ein Browser unbemerkt drei Versionen hinterher.