Google's Chrome browser blijkt veel meer beveiligingslekken te bevatten dan alleen het tapijtbom-lek en Denial of Service crashes. Oekraïense onderzoekers ontdekten een lek waardoor een aanvaller zonder enige waarschuwing een bestand in de standaard download directory kan plaatsen. Het slachtoffer moet dan wel eerst een kwaadaardige pagina bezoeken, zoals deze proof-of-concepts laten zien. Veel erger is het eerste kritieke lek dat een aanvaller op afstand de browser en het systeem laat overnemen.

Voor het uitvoeren van de aanval is wel enige social engineering vereist, aangezien het slachtoffer de kwaadaardige pagina moet opslaan via de 'SaveAs' functie, waarna de stack-based overflow pas plaatsvindt en het uitvoeren van willekeurige code mogelijk is. De exploit is inmiddels online te vinden, wat ook geldt voor verschillende proof-of-concepts die de Windows rekenmachine laden.

Laat Chrome met rust

Beveiligingsonderzoeker Ivan Ristic is van mening dat de gevonden problemen onderdeel van een natuurlijk proces zijn, aangezien de software zich nog in de betafase bevindt. "Het is te verwachten dat beveiligingsproblemen zich voordoen. De reden voor een publieke betatest is om het product door een groot publiek te laten testen en de gevonden problemen op te lossen voor er een stabiele versie verschijnt." Op dit moment is nog niemand in staat foutloze applicaties te ontwikkelen en Google is daar geen uitzondering in. "Mensen moeten zich dus niet door de kleine problemen die gevonden zijn laten afleiden."

Toch heeft de onderzoeker ook kritische woorden. Google moet namelijk stoppen met het gebruik van de "beta" benaming, zoals het ook deed met Gmail. "Het is gewoon onacceptabel om de lijn tussen beta en stabiele versie te vervagen. Hoe kunnen gebruikers anders bepalen wat voor productie geschikt is en wat niet?"

Eigenwijs

Wie absoluut niet over Chrome en Google's aanpak te spreken is, is onderzoeker Robert Hansen, beter bekend als RSnake. "Er is een fundamentele regel in cryptografie: Verzin het nooit zelf, de kansen dat je het verkeerd hebt zijn veel groter dan dat het je wel lukt." Google had volgens Hansen de browser niet in het geheim moeten ontwikkelen. "Je krijgt dan niet de voordelen en kennis van de slimme mensen die al voor je zijn geweest." Chrome mag dan opensource zijn, net zoals Firefox, maar Mozilla's browser kwam uiteindelijk voort uit Netscape, dat al ruime ervaring met browsers had. Google laat inmiddels weten dat het door de Vietnamezen gevonden lek, binnenkort via de automatische update functie zal patchen.

Hieronder een overzicht van de verschillende exploits die binnen 3 dagen werden ontdekt:

• Inspect Element DoS Exploit
  
• A HREF Denial of Service Exploit
  
• (SaveAs) Remote BOF Exploit
  
• (1583) Remote Silent Crash PoC
  
• Automatic File Download Exploit
  
• Malicious link DoS Vulnerability