Das Chrome-Update deckt neben den beiden kritischen Use-after-free-Lücken neun weitere Schwachstellen mit hoher Einstufung ab. Laut Googles Sicherheitshinweis reichen diese von Use-after-free-Fehlern über fehlerhafte Autorisierung und Informationslecks bis zu unzureichender Eingabeprüfung, einer nicht initialisierten Ressource und einem Pufferüberlauf. Die verbleibenden 15 Einträge sind als mittelschwer oder gering eingestuft.
Auffällig ist die Herkunft der Meldungen: Nur drei der insgesamt 26 Fehler wurden Google zufolge von externen Forschern gemeldet. Prämien aus dem Bug-Bounty-Programm hat der Hersteller bislang nicht offengelegt.
Die neue Chrome-Fassung wird als Version 152.0.7977.75/.76 für Windows und macOS ausgeliefert, für Linux als Version 152.0.7977.75.
Bei Mozilla verteilen sich die 29 behobenen Sicherheitsmängel auf mehrere Bereiche des Browsers: die Garbage Collection (GC), Navigation, Audio/Video, den Sicherheitsbereich, WebGPU, Core & HTML sowie Grid. Auch Firefox für Android erhält Korrekturen. 13 der Lücken gelten als hochgradig — darunter Use-after-free-Fehler, Sandbox-Ausbrüche und Speicherverfälschungen.
Drei der vergebenen CVE-Nummern fassen jeweils mehrere Fehler zusammen, die zu Speicherverfälschung führen. Mozilla hält eine Ausnutzung dieser Probleme „mit ausreichendem Aufwand“ für möglich — eine Formulierung, die der Hersteller bei gebündelten Speicherfehlern regelmäßig verwendet.
Parallel zu Firefox 155 hat Mozilla am Dienstag eine ganze Reihe weiterer Versionen mit denselben Korrekturen freigegeben: Firefox ESR 115.40, Firefox ESR 140.15 und Firefox ESR 153.2 sowie die Mail-Clients Thunderbird 155, Thunderbird 140.15 und Thunderbird 153.2. Damit sind auch Umgebungen abgedeckt, die auf die Langzeit-Support-Zweige setzen, etwa in Unternehmen mit festen Freigabezyklen.
Hinweise auf laufende Angriffe gibt es nach dem aktuellen Stand nicht: Beide Hersteller erwähnen in ihren Veröffentlichungen keine der Schwachstellen als in freier Wildbahn ausgenutzt. Da Use-after-free-Fehler und Sandbox-Ausbrüche in Browsern jedoch zu den Klassen zählen, die sich besonders gut zu Angriffsketten verbinden lassen, empfiehlt sich ein zeitnahes Einspielen der Aktualisierungen — Chrome und Firefox aktualisieren sich standardmäßig automatisch, erfordern für den Abschluss aber einen Neustart des Programms.