Chrome 156, altısı kritik 353 güvenlik açığını kapattı

Google, 353 güvenlik açığını kapatan Chrome 156'yı kararlı kanala taşıdı. SecurityWeek'in 21 Ekim'de aktardığına göre açıkların altısı kritik önemde ve büyük çoğunluğu bellek güvenliği sorunlarından kaynaklanıyor. Aktif istismar bildirilmemiş olsa da güncellemenin kapsamı nedeniyle kullanıcıların ve BT ekiplerinin yeni sürümü hızla dağıtması öneriliyor.

Neler oldu?

SecurityWeek'e göre Google, 20 Ekim Salı günü Chrome 156'nın Windows ve macOS için 156.0.8078.47/.48, Linux için 156.0.8078.47 sürümüyle kararlı kanala geçtiğini duyurdu. Güncelleme toplam 353 açığı gideriyor: altısı kritik, 61'i yüksek, 197'si orta ve 89'u düşük önem derecesinde. Yayına göre Google, bu açıklardan herhangi birinin gerçek ortamda istismar edildiğinden söz etmiyor.

Teknik detaylar

SecurityWeek'in dökümüne göre sürümde bellek hataları ağırlıkta. Düzeltmeler arasında 163 bellek bozulması, 125 use-after-free (serbest bırakılmış belleğin kullanılması) ve 17 sınır dışı okuma hatasının yanı sıra 36 hatalı girdi doğrulama sorunu bulunuyor. Altı kritik açıktan beşi bellek bozulması, biri ise use-after-free hatası. Tarayıcıdaki bu tür açıklar kötü amaçlı web sayfaları üzerinden istismar edilebildiği için Chrome'daki kritik bellek hataları genellikle öncelikli düzeltmeler olarak değerlendiriliyor. SecurityWeek'in aktardığı bilgilerde kritik ve yüksek önemdeki açıklar için CVE kimlikleri ya da ayrıntılı açıklamalar yer almıyor; adı geçen tek somut örnek, Site Isolation bileşenindeki yüksek önemli bir use-after-free açığı.

Haber, açıkların nasıl bulunduğuna da dikkat çekiyor. Açıkların 266'sını Google'ın iç ekipleri tespit etti; SecurityWeek, sürümde teşekkür edilen dış araştırmalar arasında Claude desteğiyle çalışan bir Anthropic araştırmacısının ve OpenAI Codex Security'nin de bulunduğunu belirtti. Google, 24 açık için toplam 50 bin dolar ödül ödedi, 44 açık için ise tutarları açıklamadı. Listelenen en yüksek ödül olan 10 bin dolar, Site Isolation'daki use-after-free açığını bildiren VinFast'ten Quyen Son'a verildi.

Kimler etkileniyor?

Windows, macOS ve Linux'ta Chrome 156'dan eski sürümleri kullanan tüm kullanıcılar etkileniyor. Chromium tabanlı diğer tarayıcılar genellikle bu düzeltmeleri kendi sonraki sürümlerinde aldığı için bu tarayıcıları kullanan kurumların üretici güncellemelerini takip etmesi gerekiyor.

Ne yapmalı?

Kullanıcılar tarayıcı ayarlarından güncellemeleri denetleyip kurulumu tamamlamak için Chrome'u yeniden başlatmalı. Kurumsal yöneticiler, sürümdeki kritik ve yüksek önemli bellek güvenliği düzeltmelerinin sayısını göz önünde bulundurarak güncellemeyi yönetim araçlarıyla dağıtmalı ve uç noktalarda eski sürümlerin kalmadığını doğrulamalı.