Kein Fix verfügbar: Milliarden von Webbrowsern lassen sich in Sekunden crashen
Ein Sicherheitsforscher namens Jose Pino hat eine Sicherheitslücke entdeckt, mit der sich sämtliche Chromium-basierte Webbrowser wie Chrome, Edge, Brave, Opera und Vivaldi reproduzierbar zum Absturz bringen lassen. Details zu dem Brash genannten Angriff hat Pino auf Github veröffentlicht(öffnet im neuen Fenster) . Auf einer Testseite lässt sich der Fehler leicht nachvollziehen. Einen Patch gibt es bisher nicht.
Brash betrifft effektiv Milliarden von IT-Systemen. Webbrowser auf Basis von Chromium sind sehr weit verbreitet. Allein Chrome kommt laut Statcounter(öffnet im neuen Fenster) auf einen Marktanteil von zuletzt fast 72 Prozent. Weitere 4,7 Prozent steuert Microsoft Edge bei. Hinzu kommen Browser wie Opera und Brave, die jeweils Marktanteile von weniger als zwei Prozent erreichen.
Die Ursache für Brash liegt laut Pino in der Architektur von Googles Rendering-Engine Blink(öffnet im neuen Fenster) . "Der Angriffsvektor entsteht durch das völlige Fehlen einer Ratenbegrenzung bei Aktualisierungen der document.title-API" , schreibt der Forscher auf Github. Dadurch sei es möglich, jede Sekunde Millionen von DOM-Operationen zu triggern und damit den Hauptthread des Browsers zu überlasten.
Browser crasht innerhalb von Sekunden
Pino hat den Angriff mit allen gängigen Webbrowsern unter Windows, Linux und MacOS getestet. Chromium-basierte Browser stürzen meist innerhalb von 15 bis 30 Sekunden ab. Auch die Golem-Redaktion konnte das bei einem eigenen Test mit einem vollständig aktualisierten Chrome-Browser (Version 142.0.7444.60) reproduzieren. Firefox oder Webkit-basierte Browser wie Safari zeigen sich hingegen immun gegen Brash.
Interessierte können den Angriff über eine von Pino bereitgestellte Webseite(öffnet im neuen Fenster) testen. Alternativ kann der Exploit aber auch lokal getestet werden. Weitere Einzelheiten dazu sind im Github-Repository des Forschers(öffnet im neuen Fenster) zu finden. Dort erklärt Pino auch, wie der Angriff im Detail funktioniert.
Speichern nicht vergessen
Wer Brash testet, sollte allerdings grundsätzlich beachten, dass ungespeicherte Arbeit auf dem Testsystem dabei verloren gehen kann. Da der attackierte Browser innerhalb kürzester Zeit unbedienbar wird und den Arbeitsspeicher mit Daten überflutet, ist nicht auszuschließen, dass sich das ganze Betriebssystem aufhängt, sofern der Angriff lange genug läuft. Der Browser lässt sich aber jederzeit über den Task-Manager vorzeitig beenden.
An diesem Verhalten zeigt sich auch, warum Brash nicht zu unterschätzen ist. Schon der bloße Besuch der Webseite eines Angreifers kann beim Nutzer des Browsers zu einer unerwarteten Arbeitsunterbrechung sowie im schlimmsten Fall zu einem Datenverlust führen.
Wann Google für die Sicherheitslücke einen Patch bereitstellen wird, ist noch unklar. The Register(öffnet im neuen Fenster) erklärte der Konzern bisher nur, er werde sich das Problem ansehen. Die übrigen Browserhersteller dürften hier auf Googles Korrektur angewiesen sein und warten, bis ein Update für Chromium den Fehler behebt.