Abo
  • Services:
Anzeige
Chrome-Sandbox ausgehebelt
Chrome-Sandbox ausgehebelt (Bild: Google)

Sicherheit: Auch Chrome hält Hackerattacken nicht stand

Chrome-Sandbox ausgehebelt
Chrome-Sandbox ausgehebelt (Bild: Google)

Bei dem Hackerwettkampf Pwn2own wurde eine Sicherheitslücke in Googles Chrome ausgenutzt. Sicherheitsexperten haben das Sandbox-System von Chrome ausgehebelt. Aber auch andere Browser sind Angriffen schutzlos ausgeliefert.

Alljährlich findet im Rahmen der Cansecwest im kanadischen Vancouver auch der Hackerwettkampf Pwn2own statt. Jedes Jahr sind Sicherheitsexperten dazu aufgerufen, Systeme durch nicht geschlossene Sicherheitslücken unter ihre Kontrolle zu bringen. Dieses Jahr haben sich die Sicherheitsexperten von Vupen zum Ziel gesetzt, das Sandbox-System von Chrome auszuhebeln.

Anzeige

Es gelang ihnen, beliebigen Programmcode über den Browser auszuführen, indem über den Browser eine Webseite geöffnet wurde, auf der sich passender Schadcode befand, berichtet Ars Technica. Bei dem System handelte es sich um die 64-Bit-Version von Windows 7 mit allen verfügbaren Patches.

Im zurückliegenden Jahr hatten sich Google und Vupen darüber gestritten, ob Vupen das Sandbox-System von Chrome ausgehebelt hatte. Google widersprach dem und betonte, dass Vupen eine Sicherheitslücke im Flash-Plugin ausgenutzt hätte. Das Flash-Plugin wird bei Chrome mitgeliefert und Vupen räumte ein, dass eine Sicherheitslücke in dem Plug-in eine Rolle gespielt hätte, aber auch Sicherheitslücken in Chrome selbst gefunden wurden.

Der Vupen-Mitgründer Chaouki Bekrar erklärte Cnet.com, dass insgesamt zwei Sicherheitslücken nötig waren, um den Angriff durchführen zu können. Zunächst mussten die Windows-Schutzmechanismen ASLR (Address Space Layout Randomization) und DEP (Data Execution Prevention) umgangen werden. Eine zweite Sicherheitslücke diente dazu, aus der Chrome-Sandbox auszubrechen. Damit konnte Vupen dann den Windows-Taschenrechner öffnen, indem eine entsprechend präparierte Webseite mit Chrome besucht wurde.

Arbeit am Chrome-Angriff dauerte sechs Wochen

Bekrar wollte keine weiteren Auskünfte zu den Sicherheitslücken machen und auch nicht mitteilen, ob das Sicherheitsleck direkt in Chrome oder in einem Plugin stecken würde. Bekrar meint, dass es auch keine Rolle spiele, ob eine Sicherheitslücke im Browser selbst oder in einem mitgelieferten Plugin stecke. Entscheidend sei, dass das Sicherheitssystem von Chrome im Auslieferungszustand des Browsers ausgehebelt wurde. Das Team von Vupen war nach eigenen Angaben sechs Wochen damit beschäftigt, die Sicherheitslücken zu finden und Exploit-Code dafür zu schreiben, berichtet Cnet. Ars Technica sagte Bekrar, dass insgesamt sechs Monate daran gearbeitet wurde, die Sicherheitslecks in allen Browsern zu finden.

Bekrar betont, dass Vupen auch für alle anderen populären Browser entsprechende Attacken für den Wettbewerb entwickelt hat. Dazu gehören Firefox, der Internet Explorer und Safari. Aber Vupen wollte beweisen, dass auch Chrome nicht vor Attacken gefeit ist. Allerdings betrachtet Bekrar Chrome als den Browser mit der derzeit sichersten Sandbox-Technik am Markt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte im Februar 2012 Sicherheitsempfehlungen für eine sichere Konfiguration von Windows-Computern gegeben. Dabei wurde als einziger Browser Chrome empfohlen.

Google zahlt 60.000 US-Dollar für gemeldete Sicherheitslücke

Unabhängig von der Vupen-Entdeckung hat der Sicherheitsfachmann Sergey Glazunov eine Sicherheitslücke in Chrome gefunden. Google hat eine Belohnung für gefundene Sicherheitslücken in Chrome ausgelobt und zahlt dafür nun 60.000 US-Dollar. Die betreffende Sicherheitslücke in Chrome soll schon bald mit einem Update beseitigt werden. Die komplette Belohnungssumme hat Google auf 1 Million US-Dollar festgelegt, so dass noch 940.000 US-Dollar für die Finder weiterer Sicherheitslücken in Chrome zur Verfügung stehen.

Nachtrag vom 9. März 2012, 9:46 Uhr

In der ersten Version des Artikels wurde versehentlich Sergey Glazunov zur Vupen-Gruppe gezählt. Tatsächlich wurde das von Google mit 60.000 US-Dollar honorierte Sicherheitsleck in Chrome von Glazunov entdeckt und an Google gemeldet. Google hat bereits ein Update für Chrome veröffentlicht, mit dem dieses Sicherheitsloch geschlossen wird.


eye home zur Startseite
benji83 11. Mär 2012

Wenn sich aber keine Tür ohne Schlagschlüssel öffnen wird und sich entsprechende...

ip (Golem.de) 09. Mär 2012

stimmt, da ist leider was durcheinander geraten. Der Artikel wurde korrigiert.

Mister Tengu 09. Mär 2012

Ja, aber warum?

SoniX 08. Mär 2012

Ah ok. Alles klar. Thx :-)

Uschi12 08. Mär 2012

1. Ja, Google hat viele Entwickler, aber nicht alle sind für Chrome zuständig. 2. Die...



Anzeige

Stellenmarkt
  1. T-Systems International GmbH, München, Leinfelden-Echterdingen, Nürnberg
  2. Robert Bosch GmbH, Leonberg
  3. Woodmark Consulting AG, München
  4. Detecon International GmbH, Köln, Frankfurt am Main


Anzeige
Hardware-Angebote
  1. und bis zu 150€ zurück erhalten
  2. 94,90€ statt 109,90€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Epic Loot

    Ubisoft schließt vier größere Free-to-Play-Spiele

  2. Smart Home

    Philips-Hue-Bewegungsmelder und neue Leuchten angekündigt

  3. Multirotor G4

    DLRG setzt auf Drohne zur Personensuche im Wasser

  4. Android 7.0

    Erste Nougat-Portierung für Nexus 4 verfügbar

  5. Assistiertes Fahren

    Tesla-Autopilot-Update soll Unfälle verhindern

  6. AR-Brille

    Microsoft spricht über die Hardware der Hololens

  7. Ransomware

    Trojaner Fantom gaukelt kritisches Windows-Update vor

  8. Megaupload

    Gericht verhandelt über Dotcoms Auslieferung an die USA

  9. Observatory

    Mozilla bietet Sicherheitscheck für Websites

  10. Teilzeitarbeit

    Amazon probiert 30-Stunden-Woche aus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Radeon RX 460: AMDs kleinste Polaris-Karte braucht mehr Speicher
Radeon RX 460
AMDs kleinste Polaris-Karte braucht mehr Speicher
  1. Polaris-Grafikkarten Neuer Treiber steigert Bildrate in Tomb Raider
  2. Polaris-Grafikkarten AMD stellt Radeon RX 470 und RX 460 vor
  3. Radeon Pro SSG AMD zeigt Profi-Karte mit SSDs für ein TByte Videospeicher

Radeon RX 470 im Test: Die 1080p-Karte für High statt Ultra
Radeon RX 470 im Test
Die 1080p-Karte für High statt Ultra
  1. Radeons RX 480 Die Designs von AMDs Partnern takten höher - und konstanter
  2. Radeon Software 16.7.2 Neuer Grafiktreiber macht die RX 480 etwas schneller
  3. Radeon RX 480 erneut vermessen Treiber reduziert Stromstärke auf PEG-Slot

Garmin Vivosmart HR+ im Hands on: Das Sport-Computerchen
Garmin Vivosmart HR+ im Hands on
Das Sport-Computerchen
  1. Fenix Chronos Garmins neue Sport-Smartwatch kostet ab 1.000 Euro
  2. Polar M600 Sechs LEDs für eine Pulsmessung
  3. Garmin Edge 820 Radcomputer zeigt Position der Tourbegleiter

  1. Re: Kein Geld für digitale Güter

    sundilsan | 10:55

  2. Re: Goodgames Studio

    Muhaha | 10:54

  3. Re: Geht es euch noch gut Ubisoft?

    serra.avatar | 10:51

  4. Re: Die werden ihn wohl ausliefern

    Atrocity | 10:50

  5. Re: Darf Russland den Dotcom auch verhaften?

    Atrocity | 10:47


  1. 10:22

  2. 09:45

  3. 09:20

  4. 08:49

  5. 07:52

  6. 07:26

  7. 13:49

  8. 12:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel