Dem israelischen Sicherheitsexperten Tal Atar reichte es jetzt, nachdem Google eine ihm bekannte Sicherheitslücke in Chrome innerhalb von vier Monaten nicht geschlossen hat und er veröffentlichte eine Beschreibung des Bugs samt Beispielcode für einen Exploit. Ohne Wissen des Nutzers demonstriert der Explot, wie ein Angreifer das Mikrofon des Rechners zum Abhören von Gesprächen nutzen kann.

Der Anwender muss zwar der Verwendung des Mikrofons durch eine Webanwendung zustimmen. Jedoch ist die Verbindung zum Webserver per HTTPS gesichert und der Browser fragt nur einmal nach und merkt sich die Zustimmung für weitere Sitzungen. Durch ein blinkendes Icon im jeweiligen Tab wird ein eingeschaltetes Mikrofon angezeigt.

Tal Atar erklärt, dass eine Website gleichzeitig ein Fenster hinter dem Browserfenster anlegen (Pop-under) könne. Eine Anwendung könne darin weiterhin das Mikrofon verwenden, ohne dass der Benutzer das bemerke, da diese Aktivität in keinem Tab angezeigt werde. Ein Angreifer kann so den laufenden Browser zum Abhören sämtlicher in der Umgebung geführten Gespräche missbrauchen.

Bei der Arbeit an einer JavaScript-Bibliothek zur Spracherkennung habe er den Bug bemerkt und am 13. September 2013 an Google gemeldet. Die Schwachstelle hätten dessen Entwickler sechs Tage später identifiziert und am 24. September eine Fehlerkorrektur bereitgestellt. Bis heute habe diese jedoch nicht ihren Weg in den Code des Browsers gefunden, da angeblich nicht klar sei, wie die Korrektur standardkonform umzusetzen ist.

(jk, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE