Kritisches Sicherheitsupdate für Chrome-Browser

[English]Die Google Chrome-Entwickler haben gerade ein kritisches Sicherheitsupdate für den Chrome-Browser freigegeben. Nutzer sollten den Browser zeitnah auf die aktuellen Version 67.0.3396.79 aktualisieren.

Sicherheitsforscher Michał Bentkowski entdeckte Ende Mai eine schwere Schwachstelle in Google Chrome, die die Webbrowser-Software für alle wichtigen Betriebssysteme, einschließlich Windows, Mac und Linux, betrifft. Der Fehler wurde an die Chrome Entwickler gemeldet. Es handelt sich um einen Fehler in der Behandlung des Content Security Policy (CSP), der von Google so beschrieben wurde.

Incorrect handling of CSP header. Reported by Michał Bentkowski on 2018-05-23

Der Content Security Policy (CSP)-Header ermöglicht es Websitebetreibern eine zusätzliche Sicherheitsebene auf einer bestimmten Webseite hinzuzufügen, indem sie Ressourcen steuern können, die der Browser laden darf. Die falsche Handhabung von CSP-Headern durch den Webbrowser könnte Angreifer in die Lage versetzen, Cross-Site-Scripting, Clickjacking und andere Arten von Code Injection-Angriffen auf beliebige Webseiten durchzuführen.

Das Chrome-Sicherheitsteam beschrieb das Problem in einem heute veröffentlichten Blogbeitrag als fehlerhafte Behandlung des CSP-Headers (CVE-2018-6148), ohne jedoch weitere technisches Details über die Sicherheitslücke zu enthüllen. Im Blog-Beitrag der Google-Entwickler fehlen aber weitere Details, es findet sich nur noch folgender Hinweis:

Note: Access to bug details and links may be kept restricted until a majority of users are updated with a fix. We will also retain restrictions if the bug exists in a third party library that other projects similarly depend on, but haven't yet fixed.

Die Entwickler geben also keine Details preis, solange die Mehrheit der Chrome-Benutzer noch nicht auf die aktualisierte Funktion upgedatet hat. Benutzer sollten sicherstellen, dass der Google Chrome für die Betriebssysteme Windows, Mac und Linux auf die Version 67.0.3396.79 aktualisiert wurde. (via)