Det var næsten givet på forhånd at søgegiganten Google's browser "Chrome" skulle tiltrække sig stor opmærksomhed umiddelbart efter frigivelsen af den første beta version. Og ikke uden grund. Den ser interessant ud, men som alt beta software er der problemer som man bør være meget opmærksom på inden man installerer og anvender til at surfer rundt på nettet.

Google selv beskriver den nye browser som:

"Google Chrome er en browser, som er udviklet til at gøre internettet hurtigere, nemmere og sikrere ved hjælp af et design, der ikke forstyrrer din opmærksomhed."

Men allerede inden at successen rigtigt kom igang, blev der påvist "spionlignende" funktionalitet i Chrome. Hos CSIS har vi testet Chrome og kan bekræfte at den ringer hjem, selv uden at browseren er aktiveret. Chrome gør brug af en smuk userland API hooking, som skal begrænse funktionalitet og gøre det mere besværligt at udnytte sårbarheder igennem browseren. En slags sandbox funktion om man vil, som dog mest af alt minder om rootkit funktionalitet. Men dog ikke på den slemme måde.

Kritisk sårbarhed i Google Chrome
Nuvel, det er skam ingenlunde det værste, at Google ringer hjem; I dag er der publiceret et PoC (Proof of Concept) som synliggør en kritisk sårbarhed i browseren som gør det muligt, fra en fjendtlig webside, at køre kode på systemet uden brugerinteraktion og med samme rettigheder som den påloggede bruger. Et sådan scenarie er perfekt i forhold til klassiske klientside drive-by angreb.

SVRT-Bkis, som har dokumenteret sårbarheden, bekræfter at den findes i build 0.2.149.28 som er seneste release.

En ondsindet person kan med lethed designe en fjendtlig webside indeholdende et overlangt <title> tag i HTML koden, hvilket vil udløse et stack baseret overflow i hukommelsen med plads nok til at køre arbitrær kode på systemet.

PoC kode findes på nedenstående URL:

Google Chrome 0.2.149.27 på Windows XP SP2 (Åbner calc.exe):
http://security.bkis.vn/Proof-Of-Concept/PoC-XPSP2.html

Beta software bør ikke installeres eller afprøves i produktionsmiljøer eller i virksomheder. Vi fraråder brugen af Chrome browseren indtil den findes i en mere stabil version.