Sicherheitsupdate: Chrome-Schwachstelle wird aktiv genutzt

Google hat in Chrome eine "echte Zeroday-Chain", also eine bislang unbekannte Sicherheitslücke gefunden. Nutzer des Browsers und seiner Derivate sollten schnellstmöglich ein Update aufspielen.

Artikel veröffentlicht am 6. März 2019, 14:45 Uhr, Hanno Böck

Dringend aktualisieren: In Chrome wurde eine Sicherheitslücke gefunden, die bereits aktiv ausgenutzt wird. (Bild: Xnatedawgx / Wikimedia Commons/CC-BY-SA 4.0)

Google hat ein Sicherheitsupdate für seinen Browser Chrome veröffentlicht. Es schließt eine Lücke, die offenbar bereits aktiv ausgenutzt wird. Details dazu verrät Google bislang nicht.

Laut der Mitteilung handelt es sich um einen Use-after-Free-Bug in der Filereader-Komponente, einer Javascript-API für den Zugriff auf lokale Dateien. Use-after-Free-Bugs gehören in Browsern zu den häufigsten Fehlern. Sie treten auf, wenn eine Software versucht, bereits freigegebenen Speicher erneut zu verwenden. Sie anzugreifen, ist dank Sicherheitsmechanismen in moderner Software sehr aufwendig, aber aufgrund ihrer Häufigkeit gehören sie trotzdem zu den wichtigsten Angriffsvektoren.

Entdeckt wurde der Fehler von Clement Lecigne von Googles Threat Analysis Group. Diese Abteilung ist dafür zuständig, reale Angriffe zu beobachten und zu analysieren. Justin Schuh von Chromes Sicherheitsteam sagte, man habe es mit einer echten Zeroday-Chain zu tun gehabt - einer bislang unbekannten Sicherheitslücke. Der Fehler sei gefunden worden, weil er bereits real ausgenutzt wurde.

Weitere Details sind bislang nicht bekannt, aber Justin Schuh empfiehlt Nutzern, ihren Browser sofort zu aktualisieren. In der stabilen Chrome-Version 72.0.3626.121 ist der Fehler behoben.

Neben Chrome dürften auch andere Browser, die die Rendering-Engine von Chrome verwenden, betroffen sein. Dazu gehören etwa der Brave-Browser und Chromium.