Seit 2022 ungepatcht: Google leakt unabsichtlich Exploit für Chrome-Bug

Eine seit mehr als zwei Jahren bekannte Sicherheitslücke in der Chromium-Browserplattform sorgt für neue Besorgnis in der IT-Sicherheitsbranche. Betroffen sind neben Google Chrome auch Browser wie Microsoft Edge, Brave, Opera, Vivaldi und Arc.

Missbrauch auf niedriger Stufe

Die Schwachstelle erlaubt es Angreifern, Geräte von Nutzern unbemerkt für bestimmte Online-Aktivitäten zu missbrauchen, etwa als Proxy-Server oder für koordinierte DDoS-Angriffe. Noch immer steht für den Bug kein Patch zur Verfügung. Entsprechend pikant ist daher die Tatsache, dass ausgerechnet Google nun versehentlich einen funktionierenden Exploit veröffentlichte, mit dem das Problem missbraucht werden kann, wie Ars Technica berichtet.

Der Beispiel-Code tauchte kurzzeitig im öffentlichen Chromium-Fehlertracker auf. Er wurde später zwar entfernt, ist jedoch weiterhin über Archivseiten abrufbar. Entdeckt wurde die Schwachstelle ursprünglich bereits Ende 2022 von der unabhängigen Sicherheitsforscherin Lyra Rebane. Nach ihren Angaben lässt sich die Lücke vergleichsweise einfach ausnutzen.


Die Schwachstelle basiert demnach auf der Background-Fetch-Funktion des Browsers, die eigentlich für große Downloads im Hintergrund gedacht ist. Mithilfe manipulierter Webseiten können Angreifer darüber dauerhafte Verbindungen aufbauen, die selbst nach einem Neustart des Browsers, teilweise sogar des gesamten Geräts, bestehen bleiben.

Die Möglichkeiten der Angreifer bleiben zwar auf die Rechte des Browsers beschränkt. Dennoch könnten kompromittierte Systeme zum anonymen Surfen, zum Aufruf schädlicher Webseiten oder für DDoS-Attacken eingesetzt werden, hieß es. Sicherheitsexperten warnen zudem davor, dass sich aus vielen infizierten Geräten ein großes Netzwerk aufbauen ließe, das später mit weiteren Sicherheitslücken kombiniert werden kann.

Kaum wahrnehmbar

Innerhalb Googles wurde die Schwachstelle laut internen Kommentaren als "ernst" eingestuft und mit der zweithöchsten Sicherheitsbewertung versehen. Trotzdem blieb sie über 29 Monate ohne Korrektur. Rebane vermutet, dass die Gefahr intern unterschätzt wurde, weil die Lücke keine direkten Zugriffe auf Dateien oder persönliche Daten ermöglicht.

Besonders schwer erkennbar sind die Angriffe offenbar im Edge-Browser, der auf der gleichen Code-Basis wie Googles Chrome basiert. Dort kann sich höchstens kurz ein Download-Menü öffnen, ohne dass tatsächlich Dateien erscheinen. Viele Nutzer dürften ein solches Verhalten eher als harmlosen Softwarefehler wahrnehmen.

Download Mozilla Firefox - Open Source-Webbrowser
Siehe auch: