FreeType

Sicherheitsupdate für Microsofts Webbrowser Edge

Wer mit dem Microsoft Edge im Internet unterwegs ist, sollte den Browser umgehend auf den aktuellen Stand bringen, denn Angreifer nutzen aktuell schon eine Sicherheitslücke aktiv aus. In dem Browser haben die Entwickler insgesamt fünf Lücken geschlossen. Die schon ausgenutzte Schwachstelle (CVE-2020-15999) steckt in der Programmbibliothek FreeType. Viele Infos über diese Sicherheitslücke sind noch nicht bekannt aber Angreifer sollen darüber Speicherfehler auslösen können. Das führt dann meist zu einem DoS-Zustand, was eine Anwendung letztlich abstürzen lässt. Es ist aber auch die Ausführung von Schadcode möglich. Der Bedrohungsgrad wird als "hoch" eingeschätzt, schreibt Microsoft im Sicherheitscenter für Edge. So sind auch drei weitere Lücken eingestuft. Die fünfte Sicherheitslücke (CVE-2020-16003) hat die Einstufung "mittel". Dadurch kann es beim Drucken zu einem Speicherfehler (use after free) kommen. Sowohl Edge als auch Chrome basieren auf Chromium. Bei Edge ist die Ausgabe 86.0.622.51 abgesichert. Die abgesicherte Chrome-Ausgabe 86.0.4240.111 ist bereits erschienen.

Aktiv ausgenutzte Lücke in Browser Chrome geschlossen

Google hat die stabile Version seines Webbrowsers Chrome für Windows, macOS und Linux auf Version 86.0.4240.111 upgedatet. Mit dieser neuen Version werden fünf Sicherheitslücken geschlossen, vier davon stellen nach Einschätzung der Entwickler ein hohes Sicherheitsrisiko für die Benutzer dar. Eine von den geschlossenen Lücken wird eine laut Googles Project Zero schon aktiv von Angreifern ausgenutzt. Deshalb sollten die Nutzer nach dem Update schauen, das in den kommenden Tagen und Wochen verteilt werden soll. Sicherheitslücke in FreeType abgedichtet Wie üblich haben die Entwickler dieSchwachstellen und die Security-Fixes in einem aktuellen Blogeintrag zum Chrome Stable Channel Update dokumentiert, die externe Sicherheitsforscher entdeckt und gemeldet hatten. Mit genaueren Details zu den Lücken CVE-2020-16000 in der Blink Browser-Engine, CVE-2020-16001 ("Use after free in media"), CVE-2020-16002 in PDFium, CVE-2020-15999 in FreeType sowie zur einzigen "Medium"-Lücke CVE-2020-16003 ("Use after free in printing") hält sich der Blogeintrag wie immer sehr zurück: Zugriff auf Details der Sicherheitslücken gibt es erst, wenn die meisten Benutzer das Update installiert haben. So soll das Risiko aktiver Angriffe auf noch nicht dagegen geschützte Systeme verkleinert werden. Über die Lücke CVE-2020-15999 in der Programmbibliothek FreeType finden solche Angriffe allerdings wohl aktuell schon statt. Auf Twitter teilte Project Zero-Mitarbeiter Ben Hawkes mit, dass die Chrome-Entwickler sehr schnell auf die Warnung des Teams reagiert hätten. [...]