Update verfügbar

Lücke in Google Chrome lässt Browser abstürzen

05.04.2010 
Ein Forscher hat eine Sicherheitslücke in Google Chrome gefunden. Darüber konnte der den kompletten Browser zum Absturz bringen und nicht nur das aktuelle Fenster, er hebelte so eine der wichtigsten Sicherheitsmechanismen von Chrome aus.
Mit zu den Vorteilen den Browsers Google Chrome gehört, dass sämtliche offenen Tabs in separaten Prozessen ablaufen. Das erleichtert nicht nur die Speicherverwaltung, sondern sorgt eigentlich auch dafür, dass ein einzelner abgestürzter Tab nicht den kompletten Browser mitreißt. Der Sicherheitsforscher Tobias Klein hat nun einen Bug gefunden, über den Angreifer den kompletten Kernel von Chrome abstürzen lassen können.
Chrome-Comic: Google erklärt, warum ein einzelner Tab Chrome eigentlich nicht zum Absturz bringen kann. (Quelle: Google)
Chrome-Comic: Google erklärt, warum ein einzelner Tab Chrome eigentlich nicht zum Absturz bringen kann. (Quelle: Google)
Chrome-Comic: Google erklärt, warum ein einzelner Tab Chrome eigentlich nicht zum Absturz bringen kann. (Quelle: Google)
Klein nutzt dazu einen in der Sprach Phyton geschriebenen FTP-Server. Wird dieser über einen iFrame in Google Chrome geladen, treten verschiedene Fehler bei der Verarbeitung des FTP-Kommandos PWD auf. Von der Lücke betroffen ist Google Chrome vor der Version 4.1.249.1042 (Build 42199). Google hat laut Klein schnell reagiert und einen Patch erarbeitet. Dieser wird bereist über das automatische Update-Feature von Chrome verteilt. Das komplette Advisory inklusive einem Proof-of-Concept finden Sie hier.
Der Bug in Chrome richtet zwar selbst kaum Schaden an, Angreifer können ihn allerdings beispielsweise nutzen, um ihre Opfer so lange mit abstürzenden Browsern zu nerven, bis diese die Website mit einem andern Browser besuchen. Diesen könnten die Angreifer dann wiederum attackieren und bösartigen Code einschleusen. Google Chrome gilt aktuell noch als relativ sicher. Auf dem Pwn2Own-Wettbewerb im Rahmen der Sicherheitsmesse CanSec West 2010 war Chrome der einzige Browser, der nicht gehackt wurde. (mja)
'Security-Newsletter' bestellen!

Kostenlose AppsGratis-Apps für Smartphones und Tablet-PCs
Holen Sie sich die kostenlosen TecChannel-Apps für iPhone, iPad, Android, bada und Windows 7 Slate. Oder nutzen Sie mobil.tecchannel.de für alle Geräte.



Ihre Meinung zum Artikel
Benutzername:
Passwort: