Chrome 153 repareert 42 lekken: check ook je Android-browser

Google verspreidt Chrome 153.0.8010.47 voor Android via Google Play. Het gaat om een onderhoudsupdate binnen Chrome 153, met dezelfde beveiligingsreparaties als de bijbehorende desktoprelease, tenzij Google een uitzondering vermeldt. De uitrol gebeurt over meerdere dagen. Daardoor kunnen twee telefoons tijdelijk een verschillend versienummer tonen. Voor wie Chrome op school, tijdens het reizen of voor dagelijkse accounts gebruikt, is vooral de volledige versie van belang: alleen zien dat er Chrome 153 staat, vertelt nog niet of deze reparatieronde is geïnstalleerd. De melding over stabiliteit en prestaties in het Android-bericht betekent dus niet dat beveiligingsonderhoud ontbreekt.

Welke lekken worden gerepareerd?

De bijbehorende desktoprelease bevat volgens Google 42 beveiligingsreparaties. Onze telling van de gepubliceerde lijst komt uit op drie kritieke, 28 hoge, tien middelzware en één lage classificatie. Voor Windows en macOS noemt Google 153.0.8010.47 of .48; voor Linux .47. Het bericht meldt voor deze lijst geen aangetoond misbruik in het wild. Dat is geen bewijs dat misbruik onmogelijk is. Sommige technische details blijven bovendien afgeschermd totdat voldoende gebruikers een reparatie hebben ontvangen.

Waarom ziet iemand anders al Chrome 154?

Google begon op 16 september ook met Chrome 154.0.8037.49 voor een klein percentage Android-gebruikers. Dat is een vroege stabiele uitrol, aangeduid als Early Stable. Het verklaart waarom het hoogste nummer dat je op internet ziet niet automatisch het nummer is dat iedere telefoon al krijgt. Dit afzonderlijke bericht noemt stabiliteits- en prestatieverbeteringen; het publiceert geen eigen lijst van 42 lekken. Die telling hoort bij de hiervoor beschreven Chrome 153-release. Wie de twee aankondigingen naast elkaar legt, moet dus de versie, het platform en de beperkte uitrol meenemen, in plaats van alleen het grootste nummer te vergelijken.

Wat betekent een kritieke classificatie?

Een ernstlabel beschrijft wat een fout mogelijk maakt en onder welke omstandigheden. In de actuele Chromium-richtlijnen gaat de kritieke categorie over toegang tot onderliggende systeembronnen met de rechten van de gebruiker, bijvoorbeeld bestanden. Aanvullende voorwaarden, zoals een ongebruikelijke handeling van de gebruiker, kunnen de beoordeling verlagen. Ook waarschuwen de richtlijnen dat de meeste crashes niet meteen een beveiligingslek betekenen. Voor een gewone gebruiker is het label daarom een reden om onderhoud serieus te nemen, maar geen diagnose dat zijn telefoon is overgenomen. De classificatie, een beschikbare reparatie en bewijs van een daadwerkelijke aanval zijn verschillende soorten informatie.

Waarom helpt de ingebouwde bescherming niet altijd?

Chrome gebruikt onder meer Site Isolation: websites worden van elkaar gescheiden in processen, onderdelen van het programma die met beperkte rechten draaien. Zo moet een kwaadaardige site moeilijker bij gegevens van andere sites kunnen komen. Chromium beschrijft dit nadrukkelijk als een extra verdedigingslaag, ook als ergens anders een fout zit. Op Android wordt vanwege de belasting van het toestel slechts een deel van de sites op die manier geïsoleerd. Volgens Chromium is deze bescherming beschikbaar vanaf 2 GB werkgeheugen. Dat maakt duidelijk waarom ingebouwde bescherming en reparaties naast elkaar bestaan. De scheiding beperkt mogelijke gevolgen; ontwikkelaars blijven fouten in de browser zelf herstellen. Een beschermingslaag is geen reden om updates over te slaan.

Hoe controleer je jouw telefoon en computer?

Op Android open je Google Play en kies je via het profielicoon Apps en apparaat beheren. Staat Chrome bij beschikbare updates, dan kun je daar bijwerken. Automatisch updaten hangt af van je Play Store-instellingen. De geïnstalleerde versie vind je in Chrome via Instellingen en Over Chrome. Op een computer controleert Chrome op updates wanneer je Help en Over Google Chrome opent. Biedt de browser Opnieuw starten aan, dan wordt de update bij die herstart toegepast. Gewone tabbladen worden weer geopend, incognitovensters niet. Google verwijst Linux-gebruikers naar hun pakketbeheerder; op een Chromebook loopt het bijwerken via het besturingssysteem.

Kan iedere oude Android-telefoon mee?

De huidige installatiepagina van Google noemt Android 10 of hoger als vereiste voor Chrome. Een ouder toestel kan daardoor tegen een andere grens aanlopen dan een gefaseerde uitrol. Controleer dus ook de Android-versie wanneer de browser geen recente update aanbiedt. De naam van de app alleen zegt niet dat het toestel de actuele versie ondersteunt. Deze eis staat los van het exacte versienummer dat Google op een bepaald moment uitrolt.

Beschermt een update ook tegen phishing?

Het repareren van browserfouten is een andere beschermingslaag dan Safe Browsing. Die functie waarschuwt onder meer voor verdachte websites, downloads en phishing: pogingen om je bijvoorbeeld een wachtwoord te laten afgeven. Google beschrijft verschillende beschermingsniveaus. Bij uitgebreide bescherming gaan meer gegevens over het browsen naar Google, waaronder bezochte adressen en kleine hoeveelheden pagina-inhoud. Wie dat niveau kiest, maakt dus ook een keuze over gegevensverwerking. De browser bijwerken is geen opdracht om die instelling te veranderen. Het zijn afzonderlijke onderdelen: een softwarefout repareren en tijdens het gebruik waarschuwingen geven over mogelijke misleiding.

Wat kun je na het bijwerken nog nalopen?

Op de computer bundelt Chrome meerdere controles in de Veiligheidscheck onder Privacy en beveiliging. Volgens Google kijkt die onder meer naar beschikbare updates, riskante extensies, ongebruikte siterechten en opgeslagen wachtwoorden die zwak zijn, worden hergebruikt of bij een datalek betrokken waren. Zo’n overzicht kan dus iets melden terwijl je browserversie al actueel is. Een extensie of wachtwoord vraagt dan om een eigen beoordeling; nogmaals op de updateknop drukken lost dat niet vanzelf op. Open het gemelde onderdeel en volg de bijbehorende uitleg. Zo blijft zichtbaar welk probleem je aanpakt, in plaats van alle beveiligingsmeldingen als één en dezelfde update te behandelen.