Sicherheitslücke in Google Chrome beseitigt

Google hat die Version 1.0.154.58 seines Web-Browsers Chrome bereit gestellt, die über das automatische Update verteilt wird. Die Entwickler haben eine Sicherheitslücke geflickt, die eigentlich über den Internet Explorer entsteht. Die Schwachstelle betrifft nur den für reine Anwender frei gegebenen "stable"-Zweig von Chrome, die bereits in Version 2.x bereit gestellten Entwickler- (Dev Channel) und Beta-Versionen sollen nicht anfällig sein.

Der Sicherheitsforscher Roi Saltzman von IBM hat die Sicherheitslücke entdeckt und vor einem Monat an Google gemeldet. Das Problem ähnelt dem, das die Mozilla-Entwickler vor zwei Jahren in Firefox 2.0.0.4 beseitigen mussten. In beiden Fällen könnte ein Angreifer eine speziell präparierte HTML-Seite bereit stellen, die Chrome beziehungsweise Firefox startet, wenn sie im Internet Explorer geladen wird.

Ausgenutzt wird eine fehlerhafte Behandlung bestimmter Protokollaufrufe durch den Internet Explorer - auch wenn Microsoft schon damals abgestritten hat dafür verantwortlich zu sein. Im aktuellen Fall würde die HTML-Seite des Angreifers einen Aufruf des Protokoll "ChromeHTML" nutzen, um Chrome mit zwei geöffneten Tabs zu starten. Der zweite Tab enthält Javascript-Code, der von einer beliebigen Website geladen werden kann.

Weil dieser geladene Code von einer beliebigen anderen Website/Domain stammen kann, nennt Google diese Angriffsmöglichkeit "Universal Cross-Site Scripting" (UXSS). Ein Angreifer könnte zum Beispiel gespeicherte Cookies auslesen und so Zugriff auf Benutzerkonten bei Online-Diensten wie Banken, Online-Spielen oder Google Mail erhalten. Voraussetzung für den Erfolg des Angriffs ist, dass Chrome nicht bereits läuft.

Falls Chrome das Update nicht bereits automatisch durchgeführt hat, aktualisieren Sie Chrome, indem Sie über "Google Chrome anpassen" die Auswahl "Info zu Google Chrome" anklicken. Weitere Informationen zur diesem Sicherheits-Update finden Sie im Google-Blog "Chrome Releases".