Chrome: Gefährliche Sicherheitslücke geschlossen

Mit dem Update auf die Version 1.0.154.5 schaffen die Entwickler des Google-Browsers Chrome eine ausgesprochen kritische Lücke aus der Welt. Die Installation wird allen Usern dringend empfohlen.

Mehrere unabhängige Sicherheitsexperten haben neben dem Internetkonzern Google selbst die Lücke bestätigt und stufen sie ebenfalls als besonders weit reichend und gefährlich ein. Bereits Anfang April wies Roi Saltzman von IBM auf eine bedrohliche Schwachstelle hin. Der Softwarefehler soll indes domainübergreifende Scripting-Attacken ermöglichen.

Allerdings ist der Fehler nicht nur auf der Seite von Chrome zu finden. Viel mehr steht der Bug im Zusammenspiel mit dem Internet Explorer (IE) aus dem Hause Microsoft. Diesbezüglich haben die Angreifer gezielt die Verarbeitung der URI "chromehtml:" ausgenutzt. Hierfür sei es aber erforderlich, dass der Aufruf mit dem Internet Explorer getätigt werde, teilte Mark Larson (Google Chrome Program Manager) mit.

Ebenso wie viele andere aktuelle Schwachstellen, hat die Variante im Google-Chrome-Bezug etwas mit der Verarbeitung von JavaScript im IE zu tun. Sollte das entsprechend vorbereitete Szenario der Angreifer glücken, so startet sich der Chrome-Browser selbstständig und öffnet zudem zwei Tabs. In einem der Tabs sei sodann der eingebettete Schadcode zu finden, hieß es. Ab diesem Zeitpunkt kommt eine weitere Schwachstelle ins Spiel. Die Experten bezeichnen dieses Geschehen als Universal Cross Site Scripting (UXSS). Den virtuellen Finsterlingen, welche hinter dem Angriff stecken, wird es dadurch möglich, bestimmte Daten in einer Webanwendung zu modifizieren. Im Fachjargon spricht man von einem Cross-Site-Request-Forgery (CSRF), sprich einer domain-übergreifenden Aufruf-Manipulation.

Maßgeblich für den Erfolg dieses Unterfangens sei es aber in allen Fällen, dass es sich um einen berechtigten User von Webanwendungen handeln muss. Ohne das Wissen und Zutun des Anwenders wird sodann eine HTTP-Anfrage an die Webanwendung gestellt.

Wie eingangs bereits geschildert dreht es sich bei dieser Schwachstelle neben einigen anderen Faktoren um JavaScript. Obgleich die Features dieser Skriptsprache in verschiedenen Einsatzgebieten durchaus nützlich sein mögen, sind

den Gefahren nicht gerade wenige. Ein erster Schritt zu mehr Sicherheit im Netz wäre es also, JavaScript entweder manuell oder mithilfe einiger nützlicher Tools (beispielsweise das NoScript-Addon für den Firefox-Browser) zu deaktivieren. Von einem absolut sicheren Schutz kann man zwar auch dann noch nicht sprechen, aber zweifelsohne könnte man so die Gefahr der sog. Drive-by-Downloads reduzieren. Das Software-Update für den Chrome-Browser kann auf der offiziellen Webseite heruntergeladen werden. (gS-)

(via PCMag.com, thx!)

News Redaktion am Samstag, 25.04.2009 14:01 Uhr

tags Tags: google controller schwachstelle sicherheitslücke browser update

Weitere interessante News

5 Reaktionen zu dieser Nachricht

Igel-Goalie am 26.04.2009 13:06:44

Weis jemand, ob der Iron auch davon betroffen ist? Ich nutz den Iron sehr gerne, der is schnell, komfortabel und läuft bei mir irgendwie besser als firefox:T ...
Typ47 am 25.04.2009 21:05:11

Da platzt der Chrome ab :D Es gibt ein Workarround für das Problem: Chrome deinstallieren, Firefox installieren !! Wer nutzt schon einen Browser, wenn er aus dem Hause Google kommt. Denkt mal drüber nach ;) Jop, Chrome ist wohl der letzte Brwoser, den ich Bekannten empfe ...
c64er am 25.04.2009 20:53:52

Da platzt der Chrome ab :D Es gibt ein Workarround für das Problem: Chrome deinstallieren, Firefox installieren !! Wer nutzt schon einen Browser, wenn er aus dem Hause Google kommt. Denkt mal drüber nach ;) ...

weitere Kommentare lesen Nachricht kommentieren

Fotostrecke

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...