Vor zwei Tagen hat Google vor einer schweren Sicherheitslücke im aktuellen Chrome-Browser gewarnt und die Nutzer über die Medien zu einem dringenden Update aufgerufen. Zum Schutz der Nutzer wurden bisher noch keine weiteren Details genannt, aber dafür wurde nach dem Ablauf von 7 Tagen eine weitere Lücke in Microsoft Windows veröffentlicht, die wohl mit der Chrome-Lücke in Verbindung steht.
Google hält den Chrome-Browser normalerweise in einem Rhythmus von 6 Wochen aktuell und bringt nicht nur neue Features in den Browser, sondern stopft auch gefundene Lücken. Wird eine Sicherheitslücke aber bereits aktiv ausgenutzt, wird ein Zwischen-Update vorgezogen und die Lücke somit aus den weltweit genutzten Browsern entfernt. Das war in dieser Woche der Fall, hat aber insbesondere wegen der Schwere der Lücke für Aufsehen gesorgt.
Der Chrome-Browser gilt im Allgemeinen als uneinnehmbare Festung, doch nun wurde eine Sicherheitslücke entdeckt, die es ermöglicht, die Kontrolle über den gesamten Computer zu übernehmen. Schuld daran ist ein Bug in der File Reader-API, der bereits bei Bekanntwerden per Update geschlossen wurde. Da aber noch nicht alle Nutzer das Update installiert haben, hält Google konkrete Details weiterhin zurück.
Wer etwas tiefer einsteigen möchte, kann die Details zur Sicherheitslücke aber schon jetzt sehen und versuchen, diesen entsprechend nachzuvollziehen. Wer nicht sehr tief in der Materie drin steckt, wird damit aber nicht viel anfangen können 😉
Merge M72: FileReader: Make a copy of the ArrayBuffer when returning partial results.
This is to avoid accidentally ending up with multiple references to the same underlying ArrayBuffer. The extra performance overhead of this is minimal as usage of partial results is very rare anyway (as can be seen on https://www.chromestatus.com/metrics/feature/timeline/popularity/2158).
Doch während Google offizielle Details zur eigenen Lücke im Chrome-Browser noch unter Verschluss hält, hat man nun eine weitere Sicherheitslücke in Microsoft Windows veröffentlicht. Diese betrifft Windows 7 und ermöglicht es einem Angreifer, aus der Sandbox auszubrechen und somit die Kontrolle über das gesamte System zu übernehmen. Laut Google ist nur Windows 7 betroffen und man rät den Nutzern, auf Windows 10 zu aktualisieren.
The second vulnerability was in Microsoft Windows. It is a local privilege escalation in the Windows win32k.sys kernel driver that can be used as a security sandbox escape. The vulnerability is a NULL pointer dereference in win32k!MNGetpItemFromIndex when NtUserMNDragOver() system call is called under specific circumstances.
We strongly believe this vulnerability may only be exploitable on Windows 7 due to recent exploit mitigations added in newer versions of Windows. To date, we have only observed active exploitation against Windows 7 32-bit systems.
Microsoft soll bereits an einem Fix arbeiten, hat diesen aber noch nicht verteilt. Die Lücke wurde gemeinsam mit der Chrome-Lücke veröffentlicht, sodass beide wohl miteinander in Verbindung stehen. Dennoch sind von der Chrome-Lücke auch Linux und Mac OS betroffen.
Und damit geht für Googles Sicherheitsteam eine sehr interessante Woche zu Ende. Denn neben der Chrome-Lücke und der Chrome-Lücke wurde erst vor wenigen Tagen auch eine Sicherheitslücke in Mac OS gefunden und selbst Google TV-Betriebssystem Android TV wurde in dieser Woche nicht verschont und hat durch einen Bug, der aber nicht als Sicherheitslücke eingestuft werden kann, private Fotos fremder Nutzer freigegeben.
» Ankündigung im Google Security-Blog
Siehe auch
» Achtung! Schwere Sicherheitslücke im aktuellen Chrome-Browser – Google rät dringend zum Update