Chrome 154 je aktualizace zabezpečení, která opravuje 108 zranitelností, z toho jedenáct kritických. Podle serveru PCWorld zatím žádnou z opravených chyb útočníci nezneužili v reálných útocích.
Aktualizace zabezpečení Chrome 154
Nové verze nesou označení 154.0.8037.57/58 pro Windows a macOS a 154.0.8037.57 pro Linux. Kromě bezpečnostních oprav Chrome 154 žádné nové funkce nepřináší, uvádí PCWorld. Podle téhož serveru Google objevil 76 zranitelností vlastními silami, zbývajících 32 nahlásili externí výzkumníci. Těm firma zatím vyplatila odměny v celkové výši 18 000 dolarů. Server SecurityWeek upozornil, že konečná částka může být vyšší, protože o odměnách za většinu externě hlášených chyb ještě nebylo rozhodnuto.
Kritické chyby v ANGLE a dalších komponentách
Tři z kritických zranitelností jsou přetečení vyrovnávací paměti v grafické knihovně ANGLE pro WebGL. Shodují se na tom servery CybersecurityNews, GBHackers, SecurityWeek i PCWorld. Mezi kritickými chybami jsou podle CybersecurityNews a SecurityWeek také chyby typu use-after-free v komponentách ServiceWorker, Fullscreen, WindowDialog a AdFilter.
Nejzávažnější opravenou chybou je podle CybersecurityNews CVE-2026-95350, přetečení vyrovnávací paměti v ANGLE. Nahlásili ji Billy Jheng Bing Jhong, Muhammad Alifa Ramdhan a Pan Zhenpeng ze STAR Labs SG Pte. Ltd. a odměna za ni činila 5 000 dolarů. V JavaScriptovém enginu V8 Google opravil chyby typu type confusion a zápis mimo hranice pole. Zranitelnost CVE-2026-95306 oznámila podle CybersecurityNews a GBHackers společnost OpenAI Codex Security.
Rozložení podle závažnosti
- 11 kritických zranitelností
- 25 vysoce rizikových
- 47 středně rizikových
- 25 nízce rizikových
Podle PCWorld mezi opravami převažují chyby use-after-free (34), dále 12 případů nesprávného zobrazení v uživatelském rozhraní, 12 chyb v ověřování oprávnění a 11 chybějících oprávnění. SecurityWeek napsal, že devět kritických chyb nahlásili externí výzkumníci. GBHackers zmínil nástroje, které Googlu s hledáním vad pomáhají: AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer a AFL.
Mobilní verze a Chrome 155
Google tento týden vydal také Chrome pro Android ve verzi 154.0.8037.57 a Chrome pro iOS ve verzi 154.0.8037.55. Androidí verze řeší stejné zranitelnosti jako verze pro počítače. Kanál Extended Stable pro Windows a macOS nyní obsahuje Chromium 152.0.7977.140 a Chrome 155 má vyjít přibližně za dva týdny. Podle CybersecurityNews a GBHackers Google omezuje přístup k podrobnostem o některých chybách, dokud si aktualizaci nenainstaluje většina uživatelů. V příspěvku na blogu Chrome Releases vyjmenovává Srinivas Sista všech 108 opravených zranitelností a uvádí, že 76 z nich našel sám Google, napsal PCWorld.