Chromium-lücke: cyberkriminelle stehlen daten im stillen – millionen betroffen!
Ein Albtraum für Millionen Nutzer: Sicherheitsforscher haben eine schwerwiegende Schwachstelle in Chromium aufgedeckt, die es Cyberkriminellen ermöglicht, Daten unbemerkt zu stehlen. Schon das Öffnen einer Webseite und eine einfache Anfrage können ausreichen, um sensible Informationen zu gefährden. Die Nachricht trifft die Nutzer von Chrome, Brave, Vivaldi und Opera gleichermaßen hart, da diese Browser auf Chromium basieren.
Die wurzel des problems: ein relikt aus der internet explorer-zeit
Die Ursache der Sicherheitslücke liegt in einem alten, vererbten Windows 11-Executable, das aus der Zeit von Internet Explorer stammt. Dieses Relikt ermöglicht es Angreifern, Schadsoftware in die Systeme einzuschleusen und die Browseraktivitäten zu überwachen. Besonders perfide ist, dass die Schwachstelle die sogenannte Fetch API ausnutzt, eine Schnittstelle, die für den Abruf von Ressourcen aus dem Internet verwendet wird. Diese API erlaubt nicht nur Standardanfragen, sondern auch sogenannte CORS-Anfragen (Cross-Origin Resource Sharing) und die Hintergrundübertragung von großen Dateien wie Videos.
Ein Angreifer könnte diese Schwachstelle nutzen, um eine Verbindung herzustellen und so bestimmte Aspekte der Browsernutzung auszuspionieren. Darüber hinaus besteht die Gefahr von Denial-of-Service-Angriffen (DoS), bei denen Systeme, Server oder Netzwerke lahmgelegt werden, um den legitimen Nutzern den Zugriff zu verwehren. Die Tatsache, dass diese Sicherheitslücke bereits seit 29 Monaten existiert, macht die Situation noch besorgniserregender. Experten warnen, dass ein Angreifer diese Zeit genutzt haben könnte, um Tausende von Geräten in ein bösartiges Netzwerk einzubinden und im Falle einer weiteren Schwachstelle diese dann auszunutzen, um die gesamte Infrastruktur zu kompromittieren.
Lyra Rebane, die unabhängige Forscherin, die die Schwachstelle Ende 2022 entdeckte, betonte: „Das Gefährliche ist, dass man viele verschiedene Browser zusammen haben kann und in der Zukunft etwas ausführen kann, das man entdeckt hat.“ Obwohl Google die Schwachstelle als behoben gemeldet hat, gibt es weiterhin offene Punkte, die noch behoben werden müssen. Ein weiterer Entwickler, der anonym bleiben möchte, räumte ein, dass „nicht viel Schlimmes im großen Stil passiert“, aber die Gefahr für die Nutzer von Brave, Vivaldi und Opera bleibt bestehen.
Die Verantwortung liegt bei Google: Es ist besonders ärgerlich, dass Google die Entwickler von Chromium nicht ausreichend über die Schwachstelle informiert hat. Dies hätte eine schnellere Behebung ermöglichen können. Die Nachlässigkeit unterstreicht die Notwendigkeit einer besseren Kommunikation und Koordination in der Open-Source-Community. Während Safari und Firefox von dieser spezifischen Schwachstelle nicht betroffen sind, sollten Nutzer von Chromium-basierten Browsern dringend auf die neuesten Updates achten und ihre Sicherheitseinstellungen überprüfen.
Die Erkenntnis, dass eine so gravierende Sicherheitslücke über zwei Jahre unentdeckt blieb, wirft ein schlechtes Licht auf die Sicherheitsvorkehrungen in der Browserentwicklung. Es ist ein Weckruf für die gesamte Branche, die Prozesse zur Identifizierung und Behebung von Schwachstellen zu verbessern. Die Nutzer sind letztendlich die Leidtragenden, und es liegt in der Verantwortung der Entwickler, ihre Daten zu schützen.