Google telah merilis update keamanan Chrome 150 yang memperbaiki total 27 vulnerability, termasuk dua bug critical-severity yang ditemukan oleh tim keamanan Google sendiri. Kedua critical flaw tersebut adalah use-after-free issues yang teridentifikasi di komponen Ozone dan Views dari browser Chrome. Update ini menjadi bagian dari tren yang berkelanjutan di mana Google menemukan sebagian besar vulnerability di browser buatannya sendiri — sebuah fenomena yang didorong kemungkinan besar oleh penggunaan AI dalam vulnerability research internal.
Dari 27 vulnerability yang diperbaiki, 13 di antaranya adalah use-after-free defects — termasuk 10 high-severity dan 1 medium-severity weakness. Jenis vulnerability lainnya mencakup uninitialized use, integer overflow, out-of-bounds read dan write, insufficient validation of untrusted input, inappropriate implementation, insufficient data validation, dan insufficient policy enforcement. Keragaman jenis vulnerability ini menunjukkan bahwa attack surface Chrome masih sangat luas dan memerlukan pendekatan multi-dimensional dalam hal security hardening.
Yang menarik perhatian adalah hanya tiga dari 27 vulnerability yang dilaporkan oleh external researchers — sisanya ditemukan oleh tim internal Google. Para external researchers tersebut menerima total hadiah bug bounty sebesar $3.000, yang relatif kecil dibandingkan dengan potensi kerusakan dari vulnerability critical. Tren ini sudah berlangsung selama lebih dari dua bulan, di mana Google semakin banyak menemukan vulnerability sendiri daripada bergantung pada laporan dari peneliti eksternal.
Sejak bulan April, Google telah merilis perbaikan untuk lebih dari 1.400 Chrome vulnerabilities, termasuk ratusan memory safety bugs. Update Chrome yang dirilis selama bulan Juni dan Juli saja telah memperbaiki lebih dari 1.000 flaws. Angka-angka ini sangat mencengangkan dan menunjukkan bahwa meskipun Chrome memiliki salah satu program bug bounty terbesar di dunia, jumlah vulnerability yang ditemukan terus meningkat secara signifikan — kemungkinan karena semakin kompleksnya kode browser modern dan semakin canggihnya tools scanning yang digunakan, termasuk AI-powered analysis.
Versi terbaru Chrome yang tersedia untuk diunduh adalah versi 150.0.7871.114/.115 untuk Windows dan macOS, serta versi 150.0.7871.114 untuk Linux. Pengguna di seluruh platform didorong untuk segera melakukan update karena use-after-free vulnerability — terutama yang berseverity critical — dapat dieksploitasi untuk remote code execution oleh attacker yang memanipulasi memory management browser.
Analisa Retasan
Analisa ini mengungkap beberapa tren penting dalam ekosistem keamanan browser. Pertama, dominasi Google dalam menemukan vulnerability di Chrome sendiri menandakan bahwa AI-powered vulnerability scanning — seperti yang dilaporkan digunakan oleh tim keamanan Google — mulai menunjukkan dampak nyata dalam skala industri. Hal ini mengubah dinamika program bug bounty secara fundamental: di satu sisi, lebih banyak vulnerability yang ditemukan dan diperbaiki (yang bagus untuk keamanan pengguna), namun di sisi lain, external researchers mendapat insentif yang semakin kecil.
Kedua, fakta bahwa lebih dari 1.000 vulnerability diperbaiki hanya dalam dua bulan terakhir menunjukkan bahwa Chrome — meskipun merupakan browser dengan jumlah pengguna terbesar di dunia — masih memiliki attack surface yang sangat besar. Use-after-free vulnerability masih menjadi jenis bug yang paling dominan, yang mengindikasikan bahwa memory management dalam browser engine seperti Blink dan V8 masih menjadi area yang sangat sulit untuk di-secure sepenuhnya. Meskipun Google telah menerapkan berbagai mitigasi seperti Oilpan, Oilpan-like garbage collection, dan various sandboxing techniques, kompleksitas browser modern membuat setiap pendekatan baru keamanan hanya bertahan sementara sebelum ditemukan teknik bypass baru.
Ketiga, tren ini memiliki implikasi penting bagi organisasi Indonesia. Dengan Chrome mendominasi pangsa pasar browser di Indonesia, setiap vulnerability critical yang ditemukan berpotensi mempengaruhi jutaan pengguna. organisasi yang mengelola infrastruktur kritis — seperti perbankan, pemerintahan, dan layanan publik — harus memastikan bahwa update browser diterapkan secara cepat dan terkoordinasi melalui mekanisme patch management enterprise, bukan mengandalkan pengguna individu untuk melakukan update mandiri.
Dari perspektif attacker, dua critical vulnerability di komponen Ozone dan Views sangat berharga karena Ozone adalah abstraction layer yang menghubungkan Chrome dengan operating system, dan Views adalah framework UI yang digunakan oleh seluruh antarmuka Chrome. Eksploitasi vulnerability di kedua komponen ini dapat memberikan attacker kemampuan untuk melakukan code execution dengan hak akses yang sama dengan browser process — yang sudah sangat powerful berkat integrasi sandbox Chrome.
Dengan lebih dari 1.000 vulnerability diperbaiki hanya dalam dua bulan, Chrome membuktikan bahwa attack surface browser modern masih sangat luas. Use-after-free tetap menjadi jenis bug dominan, menunjukkan bahwa memory management di browser engine merupakan front pertempuran keamanan yang belum selesai.
Sumber: SecurityWeek — Chrome 150 Update Patches 27 Vulnerabilities
