Kritische Lücken in Chrome entdeckt

Die erste Schwachstelle wurde im Rahmen des von Google ausgeschriebenen Wettbewerbs “Pwnium” von Sergej Glazunow präsentiert. Glazunow, der regelmäßig Anfälligkeiten in Chrome findet und an Google meldet, erhält dafür eine Belohnung von 60.000 Dollar.

Laut Justin Schuh, Mitglied des Chrome Security Team, funktioniert Glazunows Exploit nur mit Chrome, indem er die Sandbox vollständig umgeht, die das Ausführen von Schadcode auf einem Computer verhindern soll. “Er bricht nicht aus der Sandbox aus, er vermeidet die Sandbox”, sagte Schuh in einem Interview. Der Angriff sei “sehr beeindruckend”. “Das ist nicht einfach zu erledigen. Es ist sehr schwierig und deswegen zahlen wir 60.000 Dollar.”

Darüber hinaus demonstrierte auch das französische Sicherheitsunternehmen Vupen während des gleichzeitig stattfindenden Hackerwettbewerbs Pwn2Own eine Möglichkeit, mittels Chrome einen Windows-Rechner zu übernehmen. Laut Vupen-Gründer Chaouki Bekrar nutzte sein Team insgesamt zwei Schwachstellen für den Angriff: Die Erste umgehe die Windows-Sicherheitsfunktionen DEP und ASLR und die Zweite durchbreche die Sandbox von Chrome.

In einem Interview sagte Bekrar, Vupen habe rund sechs Wochen gebraucht, um die Anfälligkeiten zu finden und den Exploit zu schreiben. Es handele sich um einen Use-after-free-Bug in einer Standardinstallation von Chrome.

Er kündigte an, im weiteren Verlauf des Wettbewerbs auch noch Lücken in Microsofts Internet Explorer, Apples Safari und Mozillas Firefox vorzuführen. Aus taktischen Gründen habe man als erstes das Loch in Chrome vorgestellt. “Wir wollten zeigen, dass Chrome nicht unverwundbar ist. Im vergangenen Jahr gab es viele Überschriften, dass niemand Chrome knacken könne. In diesem Jahr wollten wir sicherstellen, dass Chrome als erstes fällt.”

Die Chrome-Sandbox sei aber die sicherste Sandbox, so Bekrar weiter. Es sei nicht einfach, alle ihre Sicherheitsvorkehrungen zu umgehen. “Das zeigt, dass jeder Browser oder jede Software gehackt werden kann, wenn genug Motivation und Erfahrung vorhanden sind.”

[Mit Material von Ryan Naraine, ZDNet.com]

Silicon-Redaktion

Recent Posts

GEBHARDT Intralogistics setzt bei IT-Transformation auf S/4HANAGEBHARDT Intralogistics setzt bei IT-Transformation auf S/4HANA

GEBHARDT Intralogistics setzt bei IT-Transformation auf S/4HANA

Mit SAP S/4HANA und Cloud-Technologien legt der Intralogistik-Spezialist Basis für eine zukunftsweisende IT-Architektur.

2 Tagen ago
Elisabeth-Klinik Bigge setzt für Verwaltung von iPads auf Jamf Pro und Apple Business ManagerElisabeth-Klinik Bigge setzt für Verwaltung von iPads auf Jamf Pro und Apple Business Manager

Elisabeth-Klinik Bigge setzt für Verwaltung von iPads auf Jamf Pro und Apple Business Manager

Automatisiertes Management von iPads sorgt für reibungslosen Betrieb sowie Sicherheit und verlässlichen Datenschutz.

2 Tagen ago
Malware Ranking Februar: AsyncRAT sorgt in Deutschland für wirtschaftliche SchädenMalware Ranking Februar: AsyncRAT sorgt in Deutschland für wirtschaftliche Schäden

Malware Ranking Februar: AsyncRAT sorgt in Deutschland für wirtschaftliche Schäden

Der aufstrebende Trojaner wird in professionellen Kampagnen eingesetzt, die Plattformen wie TryCloudflare und Dropbox zur…

2 Tagen ago

KI-Wettrennen: Deutschland muss aufholen

Investitionsbemühungen der Unternehmen werden nur erfolgreich sein, wenn sie die Datenkomplexität, -sicherheit und -nachhaltigkeit bewältigen…

3 Tagen ago

Fakten statt Fiktion: Was tun gegen KI-Halluzinationen und -Bias?

Generative KI kann falsch liegen oder vorurteilsbehaftete Ergebnisse liefern. Maßnahmen, mit denen Unternehmen das Risiko…

3 Tagen ago

Deutsche Wirtschaft räumt Versäumnisse ein

82 Prozent der Unternehmen sind der Meinung, die aktuelle Konjunkturkrise sei auch eine Krise zögerlicher…

3 Tagen ago