Nach dem Start von Google Web-Browser »Chrome« häufen sich Klagen über Sicherheitslücken und andere Unzulänglichkeiten der Software. So hat ein israelischer Sicherheitsexperte festgestellt, dass »Carpet-Bomb«-Attacken möglich sind, ähnlich wie bei früheren Versionen von Apples Browser »Safari«.

Wie Techworld berichtet, hat der Sicherheitsfachmann Aviv Raff ein Sicherheitsloch in Chrome entdeckt. Wie der Israeli auf seiner Web-Seite schreibt, sei dies eine Konsequenz daraus, dass Google bei Chrome »ein Pferd mit einem Esel« gekreuzt habe, sprich Elemente des Open-Source-Browsers Firefox mit denen von Apples Safari.

Einen Hinweis darauf gibt übrigens auch das Fenster »Info zu Google Chrome«, das über »Chrome anpassen« zugänglich ist. Welche Techniken aus welche Quelle Google bei Chrome zusammengebaut hat, ist im Detail auf Raffs Web-Seite nachzulesen.

Ein Problem, das dadurch entstand: Chrome ist für Carpet-Bomb-Angriffe empfänglich. Dabei werden Dateien, die der User herunterlädt, automatisch auf dem Rechner des Nutzers platziert. Dies passiert auch mit Malware, etwa wenn der Nutzer eine von Hackern präparierte Web-Seite besucht.

Altes Webkit verwendet

Klickt der Nutzer dann versehentlich auf einen solchen EXE- oder BAT-File, startet er die Installation des Schadprogramms. Dieselbe Schwachstelle wies auch die Windows-Version von Apples Web-Browser Safari auf. Mittlerweile (in Version 3.1.2) hat das Unternehmen diese beseitigt.

Bei Chrome hat Google, ebenso wie Apple zuvor, eine veralte Version der Webkit-Engine verwendet (525.13). In Verbindung mit anderen Funktionen, etwa dem für den Nutzer nicht erkennbaren Herunterladen von Java-Files (JAR-Dateien) kann ein Angreifer laut Raff eine »Blended Threat«-Attacke starten.

Dabei greifen Hacker parallel auf mehrere Schwachstellen von Programmen oder einzelnen Komponenten zurück, wie bei einem Puzzle, um diese für Attacken zu nutzen. Aviv Raff hat ein Proof-of-Concept vorgelegt, das die Machbarkeit solche Angriffe belegt.

Schwer Verdauliches für Online-Werber

Vergleichsweise harmlos, zumindest für den End-User, ist eine andere Eigenheit von Chrome: Der Browser »versteckt« Pop-up-Fenster. Im Gegensatz zu Pop-up-Blockern, wie sie etwa Firefox bietet, werden die Fenster zwar geladen, aber erst dann auf ihre Standardgröße erweitert, wenn der User sie anklickt.

Das ist zwar für den Benutzer schön, weil es ihn vor lästigen Werbe-Einblendungen schützt, nicht aber für die Werbung treibende Industrie. Denn die Firmen, die Online-Anzeigen schalten, müssen sehr wohl dafür bezahlen, auch wenn Chrome beziehungsweise der Nutzer die Fenster letztlich nicht öffnet.

Man darf gespannt sein, was Online-Anzeigenkunden zu diesem Feature sagen.