Die Sicherheitsfirma Vupen Security berichtet, eine Sicherheitslücke im Browser Google Chrome gefunden zu haben und stellt auch ein „Beweisvideo“ dazu auf YouTube vor. Man sieht, wie der Aufruf einer Seite den Windows- einen Taschenrechner herunterladen und starten, also beliebigen Code ausführen kann.
Schlimmer kann eine Lücke kaum sein. Allerdings wird nicht berichtet, mit welchen Nutzerrechten (Admin / eingeschränkten) der Zugriff möglich ist. Chrome galt wegen mehrerer Sicherheitsmechanismen in letzter Zeit als am schwersten zu knackender Browser – wodurch Vupen sich jetzt einige Hacker-Sternchen verdient hat.
Mich persönlich interessiert dieser Hinweis am Ende der Bekanntgabe:
This code and the technical details of the underlying vulnerabilities will not be publicly disclosed. They are shared exclusively with our Government customers as part of our vulnerability research services
Das Proof-of-Concept nicht zu veröffentlichen ist bei einem so weit verbreiteten Programm ja keine schlechte Idee, allerdings wäre ich froh, wenn die Finder sich bemühen würden, die Lücke zu schließen. Ob die „Kunden aus der Regierung“ das machen werden, sei dahingestellt.
Bevor wir uns aber in Verschwörungstheorien ergehen: Wenn man einen solchen Scoop landet, dann will man natürlich nicht nur still und heimlich am Fix arbeiten, und sich allein im stillen Kämmerlein freuen: Ein bisschen Angeben muss schon drin sein. Vermutlich also weiß Google schon seit einiger Zeit bescheid, und die untereinander vereinbarte Frist zum Stillschweigen ist jetzt abgelaufen, die Lücke längst geschlossen (so ein Google-Auto-Updater hat nicht nur Nachteile) und auch kein Bundestrojaner durch Chrome installiert worden.
Update: Das, worauf man sich bei Vupen spezialisiert hat, könnte man wohl am ehesten als irresponsible disclosure bezeichnen: Annika meldet bei Gulli:
Auf eine Anfrage per E‑Mail teilte der CEO und Leiter der Forschungsabteilung von Vupen, Chaouki Bekrar, mit, Vupen teile seine Erkenntnisse „nur mit seinen eigenen Kunden, um ihnen zu helfen, Risiken zu bewerten und sich vor Zero-Day-Angriffen zu schützen“. Man habe die technischen Details des Angriffs nicht an Google geschickt und Google hätte diese auch nicht nachgefragt.
(Danke für den Hinweis)
