Ja Sicherheitslücken, hier eine große mal näher beschrieben:
Der Start von Googles Browser-Projekt Chrome, angeblich ohnehin früher als geplant erfolgt, bringt sogleich die Entdeckung einer peinlichen Sicherheitslücke, die leicht zu vermeiden gewesen wäre. Es handelt sich dabei um eine Variante der so genannten "Carpet Bomb", die Apple bereits vor Monaten in seinem Browser Safari beseitigt hatte. Google Chrome Beta ist seit Dienstag Abend frei verfügbar.
Der israelische Sicherheitsforscher Aviv Raff hat eine Demo-Seite bereit gestellt, die im Zusammenspiel mit Java ein eingeschleustes (harmloses) Programm ausführt. Es handelt sich dabei um einen einfachen, in Java programmierten Texteditor. Er wird als JAR-Datei (Java-Archiv, an sich eine ZIP-Datei) ohne Rückfrage herunter geladen, der Benutzer braucht nur noch einmal auf den am unteren Rand des Browser-Fensters als Schaltfläche erscheinenden Eintrag im Download-Manager zu klicken, dann öffnet sich das Programm.
Wie die Zeichenkette "user-agent" (Browser-Kennung) verrät, mit der sich Google Chrome gegenüber einem Web-Server identifiziert, benutzt Google in der aktuellen Beta-Version von Chrome die veraltete Version 525.13 von WebKit. Die steckte auch in Apple Safari 3.1. Apple hatte jedoch bereits im Juni Safari 3.1.2 heraus gebracht, in dem die als "Carpet Bomb" bekannte Schwachstelle beseitigt ist.
Hinzu kommt, dass Chrome, im Gegensatz zu Firefox, keine Möglichkeit bietet Java oder Javascript abzuschalten oder gar gezielt nur für ausgewählte Websites zu erlauben. Zwar übernimmt Chrome bei der Installation einige Einstellungen aus Firefox, falls der Benutzer dies nicht ablehnt, bietet selbst jedoch nur wenige Einstellmöglichkeiten.
Auch mit der von Google hervor gehobenen Stabilität von Chrome scheint es bei der vorliegenden Beta-Version nicht weit her zu sein. So sollen alle Tabs in separaten Prozess laufen, die gegeneinander abgeschirmt sind. Fehler in einem Tab sollen sich nicht auf die anderen auswirken können. Eine Demo-Seite zeigt, das man Chrome durchaus komplett zum Absturz bringen kann. Es genügt sogar nur den Mauszeiger über den Link zur Absturz-Demo zu bewegen, um Chrome reproduzierbar abstürzen zu lassen.
Es bleibt für Googles Chrome-Entwickler also noch genug zu tun, bis eine erste finale Version von Chrome erscheint. Wann dies sein wird, ist völlig offen, denn bei Google bleiben Projekte auch gerne mal über Jahre im Beta-Stadium oder verlaufen völlig im Sande.
Quelle: PC Welt
- wenn er denn denselben Anlauf findet.
zu vergleichen
