Sicherheitslücke in Chrome-Browser erlaubt das Abhören von Nutzern

Der israelische Software-Entwickler Tal Ater hat auf eine Schwachstelle in Googles Browser Chrome hingewiesen, die es Angreifern ermöglicht, heimlich das Mikrofon des Rechners zu aktivieren und Gespräche des Nutzers mitzuschneiden. Eine Beschreibung der Lücke samt Exploit-Code findet sich in seinem Blog.

Wie Ater schreibt, ist er bei seiner Arbeit an der JavaScript-Spracherkennungs-Bibliothek annyang auf die Bugs in Chrome gestoßen. Diese habe er schon am 13. September Googles Security Team gemeldet. Sechs Tage später hätten Googles Entwickler die Fehler identifiziert und Fixes vorgeschlagen. Am 24. September sei ein Patch fertig und drei Tage später Aters Fund für das Prämienprogramm nominiert gewesen.

Normalerweise macht Chrome den Zugriff auf das Mikrofon durch ein rotes Kreissymbol im geöffneten Tab kenntlich. Bei der von Ater geschilderten Angriffsmethode ist dies jedoch nicht der Fall (Screenshot: ZDNet).

Allerdings veröffentlichte Google den fertigen Patch nicht. Als Ater anderthalb Monate später nach dem Grund fragte, erhielt er als Antwort, dass das Standardisierungsgremium noch über das korrekte Verhalten diskutiere. Da sich bis heute, fast vier Monate später, nichts an der Situation geändert hat, entschied sich Ater schließlich, die Sicherheitslücke öffentlich zu machen.

Normalerweise fragt Chrome den Anwender um seine Zustimmung, wenn der Browser auf das Mikrofon des Rechners zugreifen will. Gibt der Nutzer sein Okay, kann er beispielsweise Spracheingaben vornehmen. Chrome macht die aktivierte Spracherkennung durch ein Symbol kenntlich und hört auf zu lauschen, wenn der Anwender sie wieder deaktiviert oder die zugehörige Website verlässt. Erhält eine HTTPS-Site die Zustimmung des Nutzers, merkt sich Chrome dies für weitere Sitzungen, sodass beim nächsten Aufruf die Spracherkennung nicht nochmals aktiviert werden muss.

Eine schädliche Website, die ebenfalls eine HTTPS-Verbindung nutzt, könnte aber im Hintergrund ein weiteres Browser-Fenster öffnen (Pop-under), ohne dass der Anwender davon etwas mitbekommt, wie Ater erklärt. Dieses Zusatzfenster hat dann ebenfalls Zugriff auf das Mikrofon, selbst wenn die Hauptseite geschlossen wird. Die Aktivität wird nicht in Chrome angezeigt. Auf diese Weise ist ein Angreifer in der Lage, sämtliche Gespräche am Computer oder in der Nähe zu belauschen und gegebenenfalls aufzuzeichnen.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

ZDNet.de Redaktion

Recent Posts

Digitale Verbraucherrechte in Gefahr: Was Kunden jetzt wissen müssen

Der digitale Wandel hat die Art und Weise verändert, wie Verbraucherrechte gehandhabt werden. Insbesondere in…

14 Stunden ago

Google Chrome vereinfacht Nutzung von Passkeys

Chrome speichert Passkeys nun auch unter Windows, macOS und Linux im Google Passwortmanager. Dadurch stehen…

19 Stunden ago

Toughbooks als Marktnische: Für wen sind die stabilen Laptops geeignet?

In einem klimatisierten Büro mag ein herkömmlicher Laptop großartig sein, aber was passiert, wenn der…

2 Tagen ago

iOS 18 macht einige iPads unbrauchbar

Betroffen ist derzeit offenbar nur das iPad Pro M4. Es lässt sich Berichten von Nutzern…

2 Tagen ago

Google AdSense: EuG hebt Geldstrafe der EU-Kommission auf

Die EU-Kommission kann die Entscheidung noch anfechten. Das Gericht der Europäischen Union kassiert lediglich die…

2 Tagen ago

Chrome 129 stopft schwerwiegende Sicherheitslöcher

Hacker können aus der Ferne Schadcode einschleusen und ausführen. Betroffen sind Chrome für Windows, macOS…

2 Tagen ago