Die erste Schwachstelle wurde im Rahmen des von Google ausgeschriebenen Wettbewerbs “Pwnium” von Sergej Glazunow präsentiert. Glazunow, der regelmäßig Anfälligkeiten in Chrome findet und an Google meldet, erhält dafür eine Belohnung von 60.000 Dollar.
Laut Justin Schuh, Mitglied des Chrome Security Team, funktioniert Glazunows Exploit nur mit Chrome, indem er die Sandbox vollständig umgeht, die das Ausführen von Schadcode auf einem Computer verhindern soll. “Er bricht nicht aus der Sandbox aus, er vermeidet die Sandbox”, sagte Schuh in einem Interview. Der Angriff sei “sehr beeindruckend”. “Das ist nicht einfach zu erledigen. Es ist sehr schwierig und deswegen zahlen wir 60.000 Dollar.”
Darüber hinaus demonstrierte auch das französische Sicherheitsunternehmen Vupen während des gleichzeitig stattfindenden Hackerwettbewerbs Pwn2Own eine Möglichkeit, mittels Chrome einen Windows-Rechner zu übernehmen. Laut Vupen-Gründer Chaouki Bekrar nutzte sein Team insgesamt zwei Schwachstellen für den Angriff: Die Erste umgehe die Windows-Sicherheitsfunktionen DEP und ASLR und die Zweite durchbreche die Sandbox von Chrome.
In einem Interview sagte Bekrar, Vupen habe rund sechs Wochen gebraucht, um die Anfälligkeiten zu finden und den Exploit zu schreiben. Es handele sich um einen Use-after-free-Bug in einer Standardinstallation von Chrome.
Er kündigte an, im weiteren Verlauf des Wettbewerbs auch noch Lücken in Microsofts Internet Explorer, Apples Safari und Mozillas Firefox vorzuführen. Aus taktischen Gründen habe man als erstes das Loch in Chrome vorgestellt. “Wir wollten zeigen, dass Chrome nicht unverwundbar ist. Im vergangenen Jahr gab es viele Überschriften, dass niemand Chrome knacken könne. In diesem Jahr wollten wir sicherstellen, dass Chrome als erstes fällt.”
Die Chrome-Sandbox sei aber die sicherste Sandbox, so Bekrar weiter. Es sei nicht einfach, alle ihre Sicherheitsvorkehrungen zu umgehen. “Das zeigt, dass jeder Browser oder jede Software gehackt werden kann, wenn genug Motivation und Erfahrung vorhanden sind.”
[Mit Material von Ryan Naraine, ZDNet.com]
Der aktuelle Threat Labs Report von Netskope zeigt die Hauptrisiken und enthüllt die wichtigsten Angreifergruppen.
Unternehmen sind branchenübergreifend auf biometrische Identifizierungssysteme angewiesen, um Zugänge möglichst sicher und komfortabel zu gestalten.
Bei der Qualitätssicherung generativer KI reichen herkömmliche Methoden nicht mehr aus. Da hilft nur eine…
Analyse von Webhosting-Dienstleister Hostinger: Microsoft, Meta und OpenAI verzeichnen die meisten gemeldeten Cyberattacken.
Mit SAP S/4HANA und Cloud-Technologien legt der Intralogistik-Spezialist Basis für eine zukunftsweisende IT-Architektur.
Automatisiertes Management von iPads sorgt für reibungslosen Betrieb sowie Sicherheit und verlässlichen Datenschutz.
