Google en Mozilla hebben recent nieuwe beveiligingsupdates uitgerold voor Chrome en Firefox. Met de Chrome en Firefox patches zijn in totaal meer dan 180 kwetsbaarheden gerepareerd. Voor veel organisaties is dit precies het soort update waar je niet te lang mee moet wachten.
Volgens de berichtgeving zijn er bij Chrome 83 beveiligingsproblemen opgelost, en bij Firefox 99. Daarbij gaat het vooral om geheugen- en contextgerelateerde fouten, waaronder meerdere use-after-free-kwetsbaarheden met kritieke of hoge ernst.
Wat is er opgelost in Chrome?
De nieuwste Chrome-update herstelt 83 beveiligingsdefecten. Van die set zijn er vijf issues met de hoogste ernst: use-after-free. Dit soort fout kan in veel gevallen leiden tot ongewenst gedrag of het doorbreken van beveiligingsmechanismen, omdat objecten of geheugenlocaties nog gebruikt kunnen worden nadat ze al ongeldig zijn gemaakt.
De berichtgeving noemt dat deze kritieke use-after-free-issues zijn gevonden binnen onderdelen zoals ServiceWorker, CSS, Layout, Skia en Accessibility. Dat maakt duidelijk dat het niet om een enkel subonderdeel gaat, maar om meerdere routes waar een aanvaller misbruik van zou kunnen proberen te maken.
De overige 78 fouten in Chrome hebben een hoge ernst. Ze vallen grotendeels in dezelfde categorieën, met onder meer:
- use-after-free (24)
- out-of-bounds read/write (10)
- type confusion (9)
- uninitialized resource (9)
- incorrect/missing authorization (8)
Versies die nu worden uitgerold
Chrome rolt de update uit met versies 157.0.8103.78/.79 voor Windows en macOS en 157.0.8103.78 voor Linux. Werk je endpoints en gebruikersapparaten tijdig bij, zodat je deze bekende kwetsbaarheden niet langer blijft blootstellen.
Wat is er opgelost in Firefox?
Firefox heeft eveneens een nieuwe beveiligingsrelease. Met de update van Firefox 160 zijn 99 kwetsbaarheden gedicht. Daarvan zijn er 57 geclassificeerd als high-severity. Het gaat volgens de bron vooral om geheugen- en isolatieproblemen, waaronder use-after-free, fouten rondom grenzen en sandbox escape-achtige problemen.
De reparaties omvatten daarnaast ook categorieën die je in een incident-impactanalyse vaak terugziet, zoals invalid pointer, privilege escalation, information disclosure en het omzeilen van same-origin policy. Dat zijn precies de soorten zwaktes die kunnen zorgen voor datalekken of ongeautoriseerde toegang, vooral wanneer een aanvaller een geschikte aanvalsketen heeft.
Ondersteuning voor Thunderbird en oudere varianten
Mozilla gaf ook aan dat in Thunderbird 160 vrijwel alle patches zijn overgenomen. Die update verscheen deze week met 103 fixes. Daarnaast zijn er ook updates uitgerold voor Thunderbird 153.7, Firefox ESR 153.7 en Firefox ESR 115.45, elk met een set kwetsbaarheidsreparaties.
Voor organisaties met vaste updatecycli (ESR en enterprise clients) is dit een belangrijk signaal om de eigen patchrun tegen dit nieuws te spiegelen.
Waar komen de meldingen vandaan?
De berichtgeving noemt dat Google 52 van de kwetsbaarheden intern heeft ontdekt. Onderzoekers van Anthropic en OpenAI meldden daarnaast 18 issues. Voor Firefox worden in deze bron geen exacte aantallen per melder genoemd, maar wel het totale patchaantal en de belangrijkste typen fouten.
Verder wordt vermeld dat er geen geldelijke beloning wordt uitgekeerd voor deze specifieke set kwetsbaarheden. Google heeft in het verleden wel een bug bounty uitbetaald voor een high-severity use-after-free in V8, maar voor de andere extern gemelde problemen is nog niet aangegeven welke bedragen er worden uitgekeerd.
Worden deze kwetsbaarheden al misbruikt?
In de bron staat dat Google en Mozilla geen aanwijzingen noemen dat de kwetsbaarheden op dit moment in het wild worden uitgebuit. Dat betekent niet dat het risico nul is—het is juist een reden om proactief te patchen, zodat je de aanvalsroutes dicht zet voordat er wél misbruik ontstaat.
Waarom je snel moet bijwerken
Browserkwetsbaarheden kunnen impact hebben op veel meer dan alleen de browser zelf. Denk aan scenario’s waarbij een aanvaller via een kwaadaardige website of content probeert om een kwetsbaarheid te triggeren en vervolgens:
- rechten te verhogen of beveiligingsgrenzen te omzeilen;
- geheugenfouten uit te buiten voor systeem- of procescontrole;
- gegevens te lezen die normaal beschermd zijn door isolatie-mechanismen.
Omdat de berichtgeving bij Chrome en Firefox meerdere use-after-free en sandbox/isolatieproblemen noemt, past dit goed in de categorie waar security teams doorgaans prioriteit aan geven in hun patchmanagement.
Als je dit onderwerp breder wilt plaatsen binnen actuele patch- en uitbuitingsrisico’s, sluit ook onze eerdere analyse aan: N-central Legacy API: nieuwe RCE-risico’s. Hoewel dat gaat over een andere component, zie je hetzelfde patroon: bekende kwetsbaarheden worden vaak het snelst relevant zodra patches achterblijven.
Praktische aanpak voor je organisatie
Om de impact van de Chrome en Firefox patches zo klein mogelijk te houden, kun je dit proces volgen:
- Inventariseer welke versies Chrome en Firefox in gebruik zijn (incl. ESR-varianten).
- Prioriteer endpoints waarop gebruikers vaak browsers met hogere privileges gebruiken.
- Rol patches gefaseerd uit en controleer of clients daadwerkelijk overschakelen naar de genoemde versies.
- Herhaal de controle na uitrol: ook mailclients zoals Thunderbird (160 en varianten) verdienen aandacht.
- Monitor na update op verdachte processen of netwerkpatronen, ook al is er geen melding van actief misbruik.
Zo voorkom je dat je afhankelijk wordt van “later patchen” terwijl het risico in de praktijk vaak eerder stijgt dan daalt.
Conclusie
De nieuwste updates voor Chrome en Firefox lossen samen meer dan 180 kwetsbaarheden op, waaronder kritieke use-after-free-fouten bij Chrome en meerdere hoge-ernst geheugen- en isolatieproblemen bij Firefox. Met de Chrome en Firefox patches is er bovendien geen indicatie dat misbruik al plaatsvindt, maar dat maakt tijdig updaten juist nog belangrijker.
Plan daarom een snelle upgrade voor browsers én relevante varianten zoals Thunderbird, zodat je de gerepareerde kwetsbaarheden niet langer als toegangspunt laat fungeren.
Bron: https://www.securityweek.com/chrome-firefox-updates-patch-180-vulnerabilities/
