Chrome for Android: Sicherheitslücke in der JavaScript Engine ermöglicht(e) die Installation von beliebigen Apps

 

Googles Chrome-Browser hat normalerweise einen sehr guten Ruf was das Thema Sicherheit angeht und gilt auf allen Plattformen gemeinhin als unknackbar – obwohl das tatsächlich natürlich nicht der Fall ist. Jetzt ist ein neuer Exploit für Chrome for Android aufgetaucht, der genau dies wieder unter Beweis stellt: Durch den einfachen Aufruf einer Webseite kann eine beliebige App ohne Zutun des Nutzers auf dem Smartphone installiert werden.

Über eine jetzt entdecke Schwachstelle im Chrome-Browser gerät nicht nur die App selbst in das Schussfeld, sondern vor allem das darunter liegende Betriebssystem Android – das dadurch ebenfalls zum Einfallstor wird. Da der jetzt aufgetauchte Exploit eine beliebige App installieren kann, kann diese natürlich sehr viel größeren Schaden anrichten. Ob hierbei nur Apps aus dem Play Store installiert werden können, der schon einmal eine weitere große Hürde für schadhafte Apps darstellt, oder auch APK-Dateien direkt aus dem Netz geladen werden können, ist nicht bekannt.

Die jetzt entdecke Schwachstelle liegt in der JavaScript V8-Engine des Chrome-Browsers, die dann wohl auch die unbemerkte Installation einer App vornehmen kann. Entdeckt wurde diese Lücke vom Sicherheitsforscher Guang Gong, der beim Sicherheitsunternehmen Quihoo 360 angestellt ist. Entdeckt wurde die Lücke schon vor einiger Zeit, doch erst gestern wurde sie in Tokio präsentiert und der Öffentlichkeit vorgestellt. Google wurde über die Lücke informiert und dürfte wohl in den nächsten Tagen einen Patch herausbringen, der auch diese Lücke schließt. Ob sie vielleicht schon geschlossen ist, darüber gibt es noch keine Auskunft.

Wie genau dieser Exploit funktioniert ist noch nicht bekannt und wurde auch auf der Präsentation nicht im Detail beschrieben. Frühestens wenn Google meldet, dass die Lücke geschlossen wurde und die Updates für alle Nutzer ausgerollt worden sind, dürfte man mit der genauen Vorgangsweise an die Öffentlichkeit gehen. Bleibt zu hoffen, dass die Lücke nicht ganz zu tief in der JS-Engine liegt, so dass nicht wieder nach wenigen Tagen sehr ähnliche Exploits und Lücken auftauchen, die dann tatsächlich aktiv ausgenutzt werden.

[futurezone]

---

---