Kritische Lücken in Chrome entdeckt

Die erste Schwachstelle wurde im Rahmen des von Google ausgeschriebenen Wettbewerbs “Pwnium” von Sergej Glazunow präsentiert. Glazunow, der regelmäßig Anfälligkeiten in Chrome findet und an Google meldet, erhält dafür eine Belohnung von 60.000 Dollar.

Laut Justin Schuh, Mitglied des Chrome Security Team, funktioniert Glazunows Exploit nur mit Chrome, indem er die Sandbox vollständig umgeht, die das Ausführen von Schadcode auf einem Computer verhindern soll. “Er bricht nicht aus der Sandbox aus, er vermeidet die Sandbox”, sagte Schuh in einem Interview. Der Angriff sei “sehr beeindruckend”. “Das ist nicht einfach zu erledigen. Es ist sehr schwierig und deswegen zahlen wir 60.000 Dollar.”

Darüber hinaus demonstrierte auch das französische Sicherheitsunternehmen Vupen während des gleichzeitig stattfindenden Hackerwettbewerbs Pwn2Own eine Möglichkeit, mittels Chrome einen Windows-Rechner zu übernehmen. Laut Vupen-Gründer Chaouki Bekrar nutzte sein Team insgesamt zwei Schwachstellen für den Angriff: Die Erste umgehe die Windows-Sicherheitsfunktionen DEP und ASLR und die Zweite durchbreche die Sandbox von Chrome.

In einem Interview sagte Bekrar, Vupen habe rund sechs Wochen gebraucht, um die Anfälligkeiten zu finden und den Exploit zu schreiben. Es handele sich um einen Use-after-free-Bug in einer Standardinstallation von Chrome.

Er kündigte an, im weiteren Verlauf des Wettbewerbs auch noch Lücken in Microsofts Internet Explorer, Apples Safari und Mozillas Firefox vorzuführen. Aus taktischen Gründen habe man als erstes das Loch in Chrome vorgestellt. “Wir wollten zeigen, dass Chrome nicht unverwundbar ist. Im vergangenen Jahr gab es viele Überschriften, dass niemand Chrome knacken könne. In diesem Jahr wollten wir sicherstellen, dass Chrome als erstes fällt.”

Die Chrome-Sandbox sei aber die sicherste Sandbox, so Bekrar weiter. Es sei nicht einfach, alle ihre Sicherheitsvorkehrungen zu umgehen. “Das zeigt, dass jeder Browser oder jede Software gehackt werden kann, wenn genug Motivation und Erfahrung vorhanden sind.”

[Mit Material von Ryan Naraine, ZDNet.com]