Webbrowser Chrome erneut im Visier von Angreifern
Es gibt ein wichtiges Sicherheitsupdate für Chrome. Proof-of-Concept-Code ist seit einer Woche in Umlauf.
Wer mit Chrome unter Linux, macOS oder Windows surft, sollten den Browser zeitnah aktualisieren. Angreifer haben es derzeit auf eine Sicherheitslücke abgesehen.
Davor warnt Google in einem Beitrag. Die Entwickler geben an, insgesamt sieben Sicherheitslücken in der Chrome-Version 90.0.4430.85 geschlossen zu haben. Der Großteil der Lücken ist mit dem Bedrohungsgrad „hoch“ eingestuft.
Dem Beitrag zufolge finde sich die ausgenutzte Schwachstelle in der JavaScript-Implementierung V8 von Chrome. Wie Attacken aussehen könnten, ist zur Zeit unklar. Angreifer könnten wohl einen Speicherfehler (Type Confusion) auslösen. So etwas führt oft dazu, dass Angreifer Schadcode ausführen können.
Lücken miteinander kombinieren
Sicherheitsforschern zufolge sollen Angreifer nach erfolgreichen Attacken nicht aus der Sandbox des Webbrowsers ausbrechen können. Diese kapselt den Browser vom Rest des Systems ab, sodass von Angreifern ausgeführte Befehle nicht global wirken können. Die Sicherheitsforscher warnen aber auch, dass Angreifer diese Lücke mit anderen Schwachstellen zum Ausbruch aus der Sandbox kombinieren könnten.
Wer hinter den Attacken steckt, welche Ziele sie haben und in welchem Umfang die Angriffe laufen, wurde bislang noch nicht kommuniziert. Der Sicherheitsforscher mit dem Pseudonym JosexD j0s3 tr0y4 gibt auf Twitter an, Google Anfang April über die Lücke kontaktiert zu haben. Exploit-Code hat er eigenen Angaben zufolge am 12. April veröffentlicht.
Seit Anfang des Jahres hat Google vermehrt Sicherheitslücken in Chrome geschlossen, die Angreifer aktiv ausgenutzt haben. Der Webbrowser aktualisiert sich beispielsweise unter macOS automatisch. Um die installierte Version zu prüfen, klickt man oben rechts auf die drei vertikal angeordneten Punkte und ruft den Punkt Hilfe/Über Google Chrome auf. Das stößt auch den Aktualisierungsvorgang an.
(des)
