Google Chrome DoS-Schwachstelle zwingt Browser in die Knie

Die aktuellen Meldungen über Googles Browser Chrome dürften nicht nur für Datenschützer befremdlich gewesen sein. Google sieht in den kürzlich bekannt gewordenen Nutzungsbedingungen vor, dass das Unternehmen alle Nutzungsrechte an den Informationen erhält, die vom Browser verarbeitet werden. Doch damit nicht genug: Nun knüpfen die neusten Sicherheitsmeldungen lückenlos an die vorausgegangenen Negativ-Schlagzeilen an. Chrome verfügt neben der sogenannten Carpet-Bombing Schwachstelle nun auch über eine DoS-Angriffsmöglichkeit. Für zahlreiche Beobachter hat der Open Source-Browser durch die besagten Vorkommnisse sehr an Sympathie verloren. Zudem kann man mittlerweile dem Thema Chrome kaum noch im Netz entkommen - alle Feeds, Newsportale und Blogs sind voll davon.

Anfang dieser Woche wurde bekannt, dass Googles Chrome bezüglich des Carpet Bombings anfällig ist, auch der Browser Safari hatte damit seine Probleme. Durch einige Tricks sei es den Angreifern möglich, bestimmte Dateien bei einem Download direkt auf dem Desktop des Anwenders zu speichern. Auch bei der Benutzung des Internet Explorers kam es diesbezüglich in der Vergangenheit zu einigen bösen Überraschungen. Nun ist es Rishi Narang von EvilFingers.com erstmals gelungen, Chrome durch eine DoS-Schwachstelle zum Absturz zu bringen.

Stürzt Chrome ab, so erhält der Anwender folgende Fehlermeldung: "Whoa! Google Chrome has crashed. Restart now?" (siehe Bild unten) Beim Crash sind sämtliche Tabs mit über den Jordan gegangen. Narangs Erklärung zufolge, wäre ein solcher Absturz auch ohne das Zutun des Anwenders möglich. Verantwortlich für diese Problematik ist die Programmbibliothek chrome.dll und wie sie die undefined-handlers bearbeitet. Es könnte also gefährlich werden, sobald ein Anwender auf eine Webseite mit entsprechend modifizierten Inhalten gelockt wird.

Viele Sicherheitsexperten und Codeanalytiker haben der Applikation einer umfangreichen Prüfung unterzogen. Dabei kam David Maynor von Errata Security zu folgender Erkenntnis: "Nachdem wir schon sehnlichst auf das Release des Browsers gewartet haben, waren wir sehr gespannt was die Entwickler auf die Beine gestellt haben. Meinem ersten Eindruck nach zu urteilen, sieht Chrome von der Struktur her, gar nicht so schlecht aus. Ich habe da schon ganz andere Programme zu Gesicht bekommen."

Vor einer umfangreichen Benutzung des Browsers ist es ratsam, zunächst die Behebung aller Schwachstellen abzuwarten. An den gültigen Nutzungsbedinungen des Browsers ändern die Sicherheitspatches natürlich nichts. Die Datenkrake Google wird sich nur höchst ungerne (wenn überhaupt) von ihrer Vorgehensweise im Umgang mit den Daten abbringen lassen. (gS-)

(via zdnet.com, thx!) (Bildquelle: zdnet.com, thx!)

• 33 Kommentare zum Artikel

Ach, ist doch eh alles lächerlich. Über Chrome wird sich das Maul zerrissen, weil er Daten sendet, aber wenn es der Internet Explorer tut, kräht kein Hahn nach. Das spricht doch schon für sich, so wie "damals" Microsoft ein pauschales Opfer für Angriffe war, so ist es nun Google.

Backmischung am 05.09.2008 02:22

@ad absurdum: schau dir mal den link hier an: http://www.tagesschau.de/wirtschaft/google144.html hab chrome schon vorher installiert weil ich firefox doch letztendlich lieber mochte und weil die AGB mir etwas ZU drastisch waren....die fragen doch allen ernstes Zitat: wollen sie google chrome wirklich deinstallieren?(Haben wir etwas falsch gemacht?) Ja habt ihr. ALLES!

t.burny am 06.09.2008 18:52

wie gut hier wieder recherchiert wurde - Wahnsinn. Die Nutzungsbedingungen wurden schon vor 3 Tagen geändert! Und das in einer BETA!!! Sicherheitslücken sind, ist natürlich ein Skandal. Meine Fresse wozu gibts denn Betas, wenn nicht zur Aufdeckung dieser Fehler... aber nein hauptsache Google verschlingt unsere Daten! mimimi und an den Vorposter: die ach so wichtigen Daten, die an Google gesendet werden (was ich übrigens echt praktisch finde), ...

d3m0n am 06.09.2008 19:04

Zitat: Zitat von d3m0n  die ach so wichtigen Daten, die an Google gesendet werden (was ich übrigens echt praktisch finde), kann man mit 3 klicks deaktivieren: rechtsklick auf die leiste, suchmaschinen bearbeiten, autovervollständigung aus. fertig Google hat das Teil gemacht, da sind die Möglichkeiten riesig wie die trotzdem was senden könnten und die Daten sogar so harmlos aussehen lassen das man ...

thehed am 06.09.2008 20:23

[...] Diskussion lesen oder Artikel kommentieren