Google Chrome: Sicherheitslücke im Browser ermöglicht das Abhören von Nutzern

Durch die Schwachstelle haben Angreifer die Möglichkeit, das Mikrofon des Rechners heimlich zu aktivieren und alle Gespräche in der Nähe zu belauschen und aufzuzeichnen.

Der israelische Software-Entwickler Tal Ader hat sie entdeckt und macht sie, weil Google nach vier Monaten noch keinen Patch bereitgestellt hat, jetzt öffentlich. Eine Beschreibung der Lücke samt Exploit-Code findet sich in seinem Blog.

Wie Ater schreibt, ist er bei seiner Arbeit an der JavaScript-Spracherkennungs-Bibliothek annyang auf die Bugs in Chrome gestoßen. Diese habe er schon am 13. September Googles Security Team gemeldet. Sechs Tage später hätten Googles Entwickler die Fehler identifiziert und Fixes vorgeschlagen. Am 24. September sei ein Patch fertig und drei Tage später Aters Fund für das Prämienprogramm nominiert gewesen.

Normalerweise macht Chrome den Zugriff auf das Mikrofon durch ein rotes Kreissymbol im geöffneten Tab kenntlich. Bei der von Ater geschilderten Angriffsmethode ist dies jedoch nicht der Fall (Screenshot: ZDNet).

Normalerweise macht Chrome den Zugriff auf das Mikrofon durch ein rotes Kreissymbol im geöffneten Tab kenntlich. Bei der von Ater geschilderten Angriffsmethode ist dies jedoch nicht der Fall (Screenshot: ZDNet).

Allerdings veröffentlichte Google den fertigen Patch nicht. Als Ater anderthalb Monate später nach dem Grund fragte, erhielt er als Antwort, dass das Standardisierungsgremium noch über das korrekte Verhalten diskutiere. Da sich bis heute, fast vier Monate später, nichts an der Situation geändert hat, entschied sich Ater schließlich, die Sicherheitslücke öffentlich zu machen.

Normalerweise fragt Google Chrome den Anwender um seine Zustimmung, wenn der Browser auf das Mikrofon des Rechners zugreifen will. Gibt der Nutzer sein Okay, kann er beispielsweise Spracheingaben vornehmen. Chrome macht die aktivierte Spracherkennung durch ein Symbol kenntlich und hört auf zu lauschen, wenn der Anwender sie wieder deaktiviert oder die zugehörige Website verlässt. Erhält eine HTTPS-Site die Zustimmung des Nutzers, merkt sich Chrome dies für weitere Sitzungen, sodass beim nächsten Aufruf die Spracherkennung nicht nochmals aktiviert werden muss.

Eine schädliche Website, die ebenfalls eine HTTPS-Verbindung nutzt, könnte aber im Hintergrund ein weiteres Browser-Fenster öffnen (Pop-under), ohne dass der Anwender davon etwas mitbekommt, wie Ater erklärt. Dieses Zusatzfenster hat dann ebenfalls Zugriff auf das Mikrofon, selbst wenn die Hauptseite geschlossen wird. Die Aktivität wird nicht in Chrome angezeigt. Auf diese Weise ist ein Angreifer in der Lage, sämtliche Gespräche am Computer oder in der Nähe zu belauschen und gegebenenfalls aufzuzeichnen.

[Mit Material von Björn Greif, ZDNet.de]

Tipp: Kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit 15 Fragen auf ITespresso.de.

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Eine Kommentar zu Google Chrome: Sicherheitslücke im Browser ermöglicht das Abhören von Nutzern

  • Am 25. Januar 2014 um 11:02 von chris

    um sicher zu sein, dass man selber keine Schadprogramme hat, sollte man den Blick in den Task-Manager bzw in die Aktivitätsanzeige üben.

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *