Security: Microsoft findet einfachen kritischen Fehler in ChromeOS

Googles ChromeOS gilt als besonders abgesichert. Microsoft hat nun einen kritischen Anfängerfehler in dem C-Code des Systems gefunden.

Artikel veröffentlicht am ,
Chromebooks mit Googles ChromeOS
Chromebooks mit Googles ChromeOS (Bild: Google)

Das Security-Team von Microsoft berichtet in seinem Blog über eine von ihnen gefunden Sicherheitslücke (CVE-2022-2587) in Googles ChromeOS. Diese wird von Microsoft als kritisch eingestuft. Google selbst bezeichnet die damit verbundene Gefährdung lediglich als hoch. Interessant ist die Lücke vor allem wegen ihrer relativen Einfachheit, die auch ein typischer Anfängerfehler sein könnte.

Stellenmarkt
  1. IT-Referent*in (m/w/d)
    Bundesnetzagentur, Bonn, Berlin, Cottbus, Mainz, Saarbrücken
  2. Produktmanager für Software (m/w/d)
    MVTec Software GmbH, München
Detailsuche

Das ist überraschend, da Google viel Arbeit darin investiert, das Betriebssystem ChromeOS abzusichern. Laut Microsofts Zusammenfassung gehören dazu das Sandbox-System Minijail, ein verifizierter Boot, oder eine weitgehende Einschränkung des Dateisystems sowie der Root-Rechte. Das Team von Microsoft hat nun einen Speicherfehler in einer spezifische Open-Source-Komponente von ChromeOS gefunden.

Konkret handelt es sich dabei um einen Heap-Buffer-Overflow in einem Systemdienst des Audio-Servers von ChromeOS (Cras). Schnell fand sich in dem dazugehörigen Code die Nutzung der Funktion strcpy aus der Standardbibliothek zum Umgang mit Strings in der Sprache C. Dazu heißt es: "Für den erfahrenen Sicherheitsingenieur lässt die Erwähnung der strcpy-Funktion sofort die Alarmglocken läuten. Die strcpy-Funktion ist dafür bekannt, dass sie verschiedene Schwachstellen durch Speicherfehler verursacht, da sie keine Prüfung von Grenzen durchführt und daher als unsicher gilt."

Die Beteiligten waren sich deshalb sicher, schnell einen Heap-Buffer-Overflow auslösen zu können. Das gelang dann auch schnell lokal über die Interprozesskommunikation D-Bus. Das Team weist aber auch daraufhin, dass die Lücke über Metadaten von abgespielten Liedern ausgelöst werden könnte, was etwa über den Browser oder Bluetooth-Kopfhörer möglich sei. Google hat die Lücke schnell selbst behoben und bereits im Juni ein Update bereitgestellt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Streaming
Amazon zeigt neuen Fire TV Cube

Das neue Spitzenmodell der Fire-TV-Produktfamilie wurde beschleunigt und hat deutlich mehr Anschlüsse als bisher. Zudem wird eine neue Fire-TV-Fernbedienung angeboten.

Streaming: Amazon zeigt neuen Fire TV Cube
Artikel
  1. Berufsschule für die IT-Branche: Leider nicht mal ausreichend
    Berufsschule für die IT-Branche
    Leider nicht mal "ausreichend"

    Lehrmaterial wie aus einem Schüleralbtraum, ein veralteter Rahmenlehrplan und nette Lehrer, denen aber die Praxis fehlt - mein Fazit aus drei Jahren als Berufsschullehrer.
    Ein Erfahrungsbericht von Rene Koch

  2. Tim Cook: Apple will Entwicklung in München weiter ausbauen
    Tim Cook
    Apple will Entwicklung in München weiter ausbauen

    Laut Konzernchef Cook ist der Standort München wegen der Mobilfunktechnik für Apple "sehr, sehr wichtig". Doch da ist noch mehr.

  3. Indiegogo: Ein Computer, der sich nur auf Schreibmarathons fokussiert
    Indiegogo
    Ein Computer, der sich nur auf Schreibmarathons fokussiert

    Der Freewrite Alpha ist mit internem Speicher und mechanischer Tastatur etwas mehr als eine analoge Schreibmaschine - aber auch nicht viel mehr.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5-Controller GoW Ragnarök Edition vorbestellbar • Saturn Technik-Booster • Viewsonic Curved 27" FHD 240 Hz günstig wie nie: 179,90€ • MindStar (Gigabyte RTX 3060 Ti 499€, ASRock RX 6800 579€) • AMD Ryzen 7000 jetzt bestellbar • Alternate (KF DDR5-5600 16GB 96,90€) [Werbung]
    •  /