Google Chrome blijkt gatenkaas
Google's Chrome browser blijkt veel meer beveiligingslekken te bevatten dan alleen het tapijtbom-lek en Denial of Service crashes. Oekraïense onderzoekers ontdekten een lek waardoor een aanvaller zonder enige waarschuwing een bestand in de standaard download directory kan plaatsen. Het slachtoffer moet dan wel eerst een kwaadaardige pagina bezoeken, zoals deze proof-of-concepts laten zien. Veel erger is het eerste kritieke lek dat een aanvaller op afstand de browser en het systeem laat overnemen.
Voor het uitvoeren van de aanval is wel enige social engineering vereist, aangezien het slachtoffer de kwaadaardige pagina moet opslaan via de 'SaveAs' functie, waarna de stack-based overflow pas plaatsvindt en het uitvoeren van willekeurige code mogelijk is. De exploit is inmiddels online te vinden, wat ook geldt voor verschillende proof-of-concepts die de Windows rekenmachine laden.
Laat Chrome met rust
Beveiligingsonderzoeker Ivan Ristic is van mening dat de gevonden problemen onderdeel van een natuurlijk proces zijn, aangezien de software zich nog in de betafase bevindt. "Het is te verwachten dat beveiligingsproblemen zich voordoen. De reden voor een publieke betatest is om het product door een groot publiek te laten testen en de gevonden problemen op te lossen voor er een stabiele versie verschijnt." Op dit moment is nog niemand in staat foutloze applicaties te ontwikkelen en Google is daar geen uitzondering in. "Mensen moeten zich dus niet door de kleine problemen die gevonden zijn laten afleiden."
Toch heeft de onderzoeker ook kritische woorden. Google moet namelijk stoppen met het gebruik van de "beta" benaming, zoals het ook deed met Gmail. "Het is gewoon onacceptabel om de lijn tussen beta en stabiele versie te vervagen. Hoe kunnen gebruikers anders bepalen wat voor productie geschikt is en wat niet?"
Eigenwijs
Wie absoluut niet over Chrome en Google's aanpak te spreken is, is onderzoeker Robert Hansen, beter bekend als RSnake. "Er is een fundamentele regel in cryptografie: Verzin het nooit zelf, de kansen dat je het verkeerd hebt zijn veel groter dan dat het je wel lukt." Google had volgens Hansen de browser niet in het geheim moeten ontwikkelen. "Je krijgt dan niet de voordelen en kennis van de slimme mensen die al voor je zijn geweest." Chrome mag dan opensource zijn, net zoals Firefox, maar Mozilla's browser kwam uiteindelijk voort uit Netscape, dat al ruime ervaring met browsers had. Google laat inmiddels weten dat het door de Vietnamezen gevonden lek, binnenkort via de automatische update functie zal patchen.
Hieronder een overzicht van de verschillende exploits die binnen 3 dagen werden ontdekt:
Op het moment dat je de % intypt crasht de browser.
Google wil toch alles van iedereen weten, en dat kan alleen maar als iedereen de browser van Google gebruikt.
Ik zie ze hiertoe instaat.
Je zet toch zeker wel je zilverpapier hoedje op, alvorens je voor de kompjoeter gaat zitten he?
Ik denk dat het zo'n vaart niet zal lopen.
Groet ML2MST
Geen Opera dus
Echter, nu lijkt het niet meer te werken bij mij...
FF is nog altijd de beste :) en Opera daarna ...
Op het moment dat je de % intypt crasht de browser.
Maar als het je lukt om de browser te crashen via die view-source:% als iframe src... dan is het al wat meer.
ik gebruik gewoon firefox, iedereen moet zelf weten welke browser hij gebruikt.
Chrome is leuk om in een virtuele omgeving mee te spelen, voor je het ding echt gaat gebruiken.
Maarja, dat deed ik met firefox ook al..
Zijn die dan zo slecht , of gewoon niet bekend.?
Zijn die dan zo slecht , of gewoon niet bekend.?
Zover ik weet zijn die beiden gebaseerd op de Mozilla Gecko engine en werken feitelijk hetzelfde als Firefox zelf, alleen een wat andere gebruikersinterface.
B. Net even mijn bankzaken gedaan en daarna zoals aangegeven gezocht op: "rekening", "Saldo" & "bank" om te zien wat er LOKAAL in mijn eigen Cache staat.
De eerste keer niet in 'privacy mode', de tweede keer wel.
Resultaat:
B1. Nix noppes nada, natuurlijk krijg ik de eerste pag van de Rabobank, maar geen enkele pagina daarna.
B2. Nix noppes nada, wel krijg ik nu (vreemd genoeg) wel een aantal startpags, dus ook die van het inloggen, maar zonder gegevens.
Je kan er dus nix mee, ook niet met de LOKAAL opgeslagen data uit je browser cache (iets dat iedere browser doet en waarvoor vele tooltjes bestaan om die uit te lezen).
Het geheel is dus allemaal M$-FUD, begrijpelijk want M$ heeft haar langste tijd gehad en in haar doodstrijd zullen er nog wel meer mensen door het lint gaan.
Jammer dat de div websites die vroeger serieus waren mee doen aan deze hype-FUD omdat het nu eenmaal veel clicks oplevert en zo dus weer veel advertentie-inkomsten, van Google notabene.
Van de reaguurders is bekend dat ze liever blaten, napapagaaien en FUD verspreiden dan dat ze zelf even iets onderzoeken of testen.
Triest is het wel.
FF is nog altijd de beste :) en Opera daarna ...
IE8 wordt door Microsoft betaald, een meervoudig veroordeelde club criminelen, dus als je dan het geld wilt volgen... sja. Anders maar Epiphany? Konqueror? Of toch weer gewoon w3m of links?
Doet dus helemaal nix, de pagina blijft gewoon blanco. Op XP/eBox/Chrome0.2.149.29
Al dat open source spul blijkt het ene lek na het andere lek te hebben.
Met die verwachting zit er ook wel een kans in dat ze het hele verhaal in de vriezer leggen en we er niks meer over horen. Ik denk dus niet dat dit DE nieuwe browser wordt :)
ik begon een paar weken geleden met google chrome, hij liep vaak vast op bepaalde sites, en nu loopt hij op al die sites niet meer vast, zo zie je dat ze hard bezig zijn met verbeteren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!