Chrome, Edge und Firefox
Browser-Schwachstelle: Passwörter im Klartext gespeichert
Eine Sicherheitslücke in Google Chrome erlaubt das Auslesen von Passwörtern im Klartext. Auch Edge und Firefox sollen betroffen sein. Google will dagegen jedoch nicht patchen.
Mehrere beliebte Browser auf Chromium-Basis sind von einer Sicherheitslücke betroffen, bei der Passwörter im Klartext ausgelesen werden können. Entdeckt wurde die Schwachstelle zufällig durch den Sicherheitsforscher Zeev Ben Porat von Cyberark. Laut ihm seien diese "quite concerning" -...
Mehrere beliebte Browser auf Chromium-Basis sind von einer Sicherheitslücke betroffen, bei der Passwörter im Klartext ausgelesen werden können. Entdeckt wurde die Schwachstelle zufällig durch den Sicherheitsforscher Zeev Ben Porat von Cyberark. Laut ihm seien diese "quite concerning" - "ziemlich besorgniserregend".
Bei der Nutzung des Browsers werden Passwörter sowie weitere Daten wie URLs, aktive Cookies und Nutzungsnamen demnach unverschlüsselt im Speicher von Chrome abgelegt. Allerdings können Angreifende auch aktiv alle Passwörter, die im Passwort-Manager des Browsers hinterlegt sind, in den Speicher laden.
Die im Speicher abgelegten Daten können dann von Angreifenden extrahiert werden. Durch einen Vergleich des Speichers vor und nach dem Einloggen des Nutzers in einen Dienst lässt sich so etwa gezielt das verwendete Passwort herausfinden. Da im Speicher auch Session-Cookies liegen, könnte dabei sogar Zweifaktor-Authentifizierung umgangen werden.
Eine ähnliche Lücke war bereits 2015 von Satyam Singh von Infosec entdeckt und offengelegt worden.
Bereits im Original-Artikel von Cyberark wurde vermutet, dass von der Schwachstelle auch weitere Chromium-Browser wie Edge betroffen sind. Der IT-Blogger Günter Born konnte das in mehreren Tests bestätigen. Aber auch bei Mozillas Firefox scheint das Problem zu bestehen.
An Google gemeldet hatte Zeev Ben Porat die Lücke bereits am 29. Juli 2021. Allerdings teilte ihm das Unternehmen mit, die Schwachstelle nicht zu beheben und verwies auf das eigene Security-FAQ. Das Problem könne nur ausgenutzt werden, wenn die Angreifenden physischen Zugriff auf das Gerät hätten. Dies sei außerhalb des Gefahrenmodels von Chrome. Der Browser müsse sich darauf verlassen, dass man dem lokalen Nutzenden trauen könne.
Laut Born sei diese Aussage in der Theorie richtig, greife in diesem Fall jedoch zu kurz: "Kennwörter sollten nicht im Klartext im Browser-Speicher zu finden sein."
