Google Chrome

Maximal 60 Tage zum Schließen einer Sicherheitslücke

Googles erweiterte Sicherheitsinitiative für Chrome zeigt Erfolg: Die Entdecker zweier Sicherheitslücken in Googles Browser erhielten die vom Anbieter ausgelobten 1.337 US-Dollar. Vier weitere Sicherheitslecks in Chrome wurden mit jeweils 500 US-Dollar prämiert.

Artikel veröffentlicht am 27. Juli 2010, 11:55 Uhr, Jörg Thoma

In Version 5.0.375.125 des Chrome-Browsers wurden insgesamt sieben Sicherheitslücken repariert, so Entwickler Jason Kersey von Google. Die mit jeweils 1.337 US-Dollar prämierten Entdecker trugen zu Patches bei, mit denen Fehler im Windows-Kernel und in der Glibc-Bibliothek im Zusammenhang mit Googles Browser umgangen werden können. Die mit 500 US-Dollar prämierten Entwickler entdeckten hauptsächlich Fehler im Speichermanagement des Browsers.

Über Details zu den gefundenen Sicherheitslücken schweigt sich die Webseite Chromium Security bislang aus. Nach einer neuen Richtlinie des Chromium-Projekts sollen genaue Angaben zu Fehlern erst dann veröffentlicht werden, wenn alle Sicherheitsbedenken ausgeräumt sind. Zudem appelliert Google an Entwickler, zunächst das Projekt über mögliche Fehler zu informieren und sie nicht zu veröffentlichen.

Softwareanbieter sollten das Verschweigen von Sicherheitslücken nicht dazu nutzen, Anwendungen nicht zu reparieren, meint das Google Security Team in seinem Blog. Verantwortungsbewusstes Handeln sei keine Einbahnstraße: Obwohl Fehler auch einzigartig sein können, sollten Reparaturen spätestens nach 60 Tagen integriert werden.

Ende Januar 2010 hatte Google das Programm Chromium Security Rewards ins Leben gerufen. Seitdem wird das Melden einer offenen Sicherheitslücke in Chrome oder Chromium mit 500 US-Dollar pro Fehler honoriert. Nur wenn eine Sicherheitslücke etwas Besonderes aufweist, gibt es 1.337 US-Dollar. Über die Vergabe der Prämie entscheidet eine Jury. Das Finden einer gefährlichen Sicherheitslücke wird deutlich besser belohnt. Denn dafür gibt es jetzt bis zu 3.133,70 US-Dollar. Die Summen sollen sich von Leetspeak ableiten. Dabei werden Buchstaben durch ähnlich aussehende Zahlen ersetzt. Die höchste angebotene Prämie von 3.133,70 US-Dollar entspräche damit dem Wort "Eleet".