Kritische Lücken in Chrome entdeckt

Die erste Schwachstelle wurde im Rahmen des von Google ausgeschriebenen Wettbewerbs “Pwnium” von Sergej Glazunow präsentiert. Glazunow, der regelmäßig Anfälligkeiten in Chrome findet und an Google meldet, erhält dafür eine Belohnung von 60.000 Dollar.

Laut Justin Schuh, Mitglied des Chrome Security Team, funktioniert Glazunows Exploit nur mit Chrome, indem er die Sandbox vollständig umgeht, die das Ausführen von Schadcode auf einem Computer verhindern soll. “Er bricht nicht aus der Sandbox aus, er vermeidet die Sandbox”, sagte Schuh in einem Interview. Der Angriff sei “sehr beeindruckend”. “Das ist nicht einfach zu erledigen. Es ist sehr schwierig und deswegen zahlen wir 60.000 Dollar.”

Darüber hinaus demonstrierte auch das französische Sicherheitsunternehmen Vupen während des gleichzeitig stattfindenden Hackerwettbewerbs Pwn2Own eine Möglichkeit, mittels Chrome einen Windows-Rechner zu übernehmen. Laut Vupen-Gründer Chaouki Bekrar nutzte sein Team insgesamt zwei Schwachstellen für den Angriff: Die Erste umgehe die Windows-Sicherheitsfunktionen DEP und ASLR und die Zweite durchbreche die Sandbox von Chrome.

In einem Interview sagte Bekrar, Vupen habe rund sechs Wochen gebraucht, um die Anfälligkeiten zu finden und den Exploit zu schreiben. Es handele sich um einen Use-after-free-Bug in einer Standardinstallation von Chrome.

Er kündigte an, im weiteren Verlauf des Wettbewerbs auch noch Lücken in Microsofts Internet Explorer, Apples Safari und Mozillas Firefox vorzuführen. Aus taktischen Gründen habe man als erstes das Loch in Chrome vorgestellt. “Wir wollten zeigen, dass Chrome nicht unverwundbar ist. Im vergangenen Jahr gab es viele Überschriften, dass niemand Chrome knacken könne. In diesem Jahr wollten wir sicherstellen, dass Chrome als erstes fällt.”

Die Chrome-Sandbox sei aber die sicherste Sandbox, so Bekrar weiter. Es sei nicht einfach, alle ihre Sicherheitsvorkehrungen zu umgehen. “Das zeigt, dass jeder Browser oder jede Software gehackt werden kann, wenn genug Motivation und Erfahrung vorhanden sind.”

[Mit Material von Ryan Naraine, ZDNet.com]

Silicon-Redaktion

Recent Posts

Private Apps und genKI bleiben hohes Risiko im FinanzdienstleistungssektorPrivate Apps und genKI bleiben hohes Risiko im Finanzdienstleistungssektor

Private Apps und genKI bleiben hohes Risiko im Finanzdienstleistungssektor

Der aktuelle Threat Labs Report von Netskope zeigt die Hauptrisiken und enthüllt die wichtigsten Angreifergruppen.

15 Stunden ago
Biometrische Merkmale als Schlüssel für die sichere AuthentifizierungBiometrische Merkmale als Schlüssel für die sichere Authentifizierung

Biometrische Merkmale als Schlüssel für die sichere Authentifizierung

Unternehmen sind branchenübergreifend auf biometrische Identifizierungssysteme angewiesen, um Zugänge möglichst sicher und komfortabel zu gestalten.

17 Stunden ago
Qualitätssicherung: Wenn KI die KI testetQualitätssicherung: Wenn KI die KI testet

Qualitätssicherung: Wenn KI die KI testet

Bei der Qualitätssicherung generativer KI reichen herkömmliche Methoden nicht mehr aus. Da hilft nur eine…

1 Tag ago

Deutschland auf Platz 2 der Cyberattacken

Analyse von Webhosting-Dienstleister Hostinger: Microsoft, Meta und OpenAI verzeichnen die meisten gemeldeten Cyberattacken.

2 Tagen ago

GEBHARDT Intralogistics setzt bei IT-Transformation auf S/4HANA

Mit SAP S/4HANA und Cloud-Technologien legt der Intralogistik-Spezialist Basis für eine zukunftsweisende IT-Architektur.

5 Tagen ago

Elisabeth-Klinik Bigge setzt für Verwaltung von iPads auf Jamf Pro und Apple Business Manager

Automatisiertes Management von iPads sorgt für reibungslosen Betrieb sowie Sicherheit und verlässlichen Datenschutz.

5 Tagen ago