News Google Chrome: Patch schließt gefährliche Zero-Day-Lücke

mischaef

Kassettenkind
Teammitglied
Registriert
Aug. 2012
Beiträge
5.930
Google hat ein Update für seinen Chrome-Browser veröffentlicht, das zwar lediglich eine Schwachstelle beseitigt, die jedoch laut eigenen Aussagen bereits ausgenutzt wird. Anwender sollten daher schnellstmöglich auf die korrigierte Version umsteigen.

Zur News: Google Chrome: Patch schließt gefährliche Zero-Day-Lücke
 
  • Gefällt mir
Reaktionen: Redundanz, Banned, SweetOhm und eine weitere Person
Und täglich grüßt das Murmeltier.
Browser vom Kaliber eines Chromes sind aber auch inzwischen so umfangreich, das es auf der Hand liegt, das da zahlreiche Sicherheitslücken drin schlummern.
Man hat zu lange darauf gesetzt Features einzubauen und damit die Komplexität nach oben zu treiben und nun hat man den Salat und muss damit umgehen.

Ist übrigens kein Problem, welches Chrome-exklusiv ist. Auch Chromium ist davon betroffen und dementsprechend muss man davon ausgehen, das alle anderen Browser die darauf aufbauen ebenfalls betroffen sind.
 
  • Gefällt mir
Reaktionen: xXBobbyXx, AlphaKaninchen, piepenkorn und eine weitere Person
Grundsätzlich würde mich mal interessieren ob man auch betroffen ist, wenn man WebRTC deaktiviert hat.
Code:
chrome://settings/content/webrtc
 
Ich überlege schon lange auf eher unbekanntere Browser wie z.B. dem Opera zu setzen. Was da mittlerweile alles im Chrome und Firefox schlummert ist echt abartig. Der Aufwand für das Herausfinden solcher Lücken von "Hackern" und dem Teilen/Ausnutzen solches Wissens scheint mir dort um ein Vielfaches größer als bei einem (z.B.) Opera. Denn die Marktanteile machen das sicherlich weniger attraktiv.
 
WebRTC ist erstmal eine gute Sache, weil Microsoft und Konsorten jede Standardisierung verhindert haben. Deswegen hatten wir 2010 immer noch keine Videokonferenzen, obwohl uns das 1995 schon versprochen wurde.

Grundsätzlich aber muss ich mich dem anschließen, Webbrowser sind zu fett. V8 und JavaScript sind besonders schädlich. Google wollte das alles weil sie uns in “WebApps” hinein treiben wollten. Dazu fragwürdige APIs für Zugriff auf USB oder NFC.

Was habe wir davon? Überladene Websiten bei denen der Button die Position nach dem Laden ändert. Und das besonders unbeliebte Electron, der fette Bruder von Flash auf dem Desktop. Der Code der Webbrowser ist so umfangreich geworden, dass man Stunden zum Kompilieren braucht. Einen angepassten Linuxkernel hat man dagegen in Minuten durch, weil man 90% der Module weglassen kann.

Es läuft so:
Google will es, Blink kann es. Die anderen müssen auch. Weil die Webentwickler sonst jammern, dass die “schlecht” wären. Das W3C ist das wohl ineffektivste Standardisierungsgremium der Welt.
Dagegen ist die ISO-Workgroup von C++ ein Beispiel für Innovationskraft und Durchsetzungsvermögen. GCC, LLVM und MVSC wollen aber eben auch zusammen arbeiten. Und keiner hat Macht über die anderen, im Gegenteil, die brauchen die Mitwirkung.
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: IllusionOn, AlphaKaninchen und Termy
>|Sh4d0w|< schrieb:
Ich überlege schon lange auf eher unbekanntere Browser wie z.B. dem Opera zu setzen.
Ist Chromium-basiert, damit gewinnst du nichts. Mit Pech kommen nur Patches langsamer.
 
  • Gefällt mir
Reaktionen: Arc Angeling, Zarlak, tollertyp und 8 andere
>|Sh4d0w|< schrieb:
Ich überlege schon lange auf eher unbekanntere Browser wie z.B. dem Opera zu setzen. Was da mittlerweile alles im Chrome und Firefox schlummert ist echt abartig. Der Aufwand für das Herausfinden solcher Lücken von "Hackern" und dem Teilen/Ausnutzen solches Wissens scheint mir dort um ein Vielfaches größer als bei einem (z.B.) Opera. Denn die Marktanteile machen das sicherlich weniger attraktiv.
Was soll das bringen?

Es gibt nur noch drei Engines. WebKit (Safari und Epiphany), Gecko (Firefox) und Blink (Chrome, Opera, Vivaldi, InternetExlorer oder wie er gerade heißt).

Trident (IE) ist tot. KHTML (Vorläufer WebKit) ist tot. Operas eigene Engine ist tot.

Google hat viel zu viel Macht und der offene Quellcode nützt hier wenig.
 
  • Gefällt mir
Reaktionen: Arc Angeling, Zarlak, AlphaKaninchen und eine weitere Person
Bekommt ihr das Update auf Android denn angeboten?
Ich bekomme nur Chrome 120.0.6099.115 über den PlayStore.
 
flaphoschi schrieb:
Was habe wir davon? Überladene Websiten bei denen der Button die Position nach dem Laden ändert. Und der Code der Webbrowser ist so umfangreich geworden, dass man Stunden zum Kompilieren braucht.
Naja. Diese Arten von einfachen Webseiten sind eher von den Webseitenerstellern verursacht. Springende Buttons konnte man auch früher schon erzeugen. Ordentliche Webseiten sind auch heute noch umsetzbar.

Wir haben von der modernen Browser-Entwicklung vor allem, dass Anwendungen ohne Installation auf jedem Betriebssystem laufen. Dass ich als Linux-Nutzer ein Fan davon bin, muss ich wohl nicht betonen.
 
  • Gefällt mir
Reaktionen: FrAGgi, AlphaKaninchen und kim88
pseudopseudonym schrieb:
Naja. Diese Arten von einfachen Webseiten sind eher von den Webseitenerstellern verursacht. Springende Buttons konnte man auch früher schon erzeugen. Ordentliche Webseiten sind auch heute noch umsetzbar.
Und leider kann das jeder mit Absicht, oft ist es aber einfach ein Fehler. JavaScript war zu recht hoch umstritten. Man hätte Websitenbetreibern diese Möglichkeiten nicht geben sollen. Und deswegen konnte man JavaScript direkt in der UI abschalten.

Aufritt Google. Jetzt muss der Webbrowser das DOM selber zusammen basteln. Man merkt es heute noch, PHP/CGI-Websiten sind einfach schnell. Viel schneller. Und übersichtlich.
pseudopseudonym schrieb:
Wir haben von der modernen Browser-Entwicklung vor allem, dass Anwendungen ohne Installation auf jedem Betriebssystem laufen. Dass ich als Linux-Nutzer ein Fan davon bin, muss ich wohl nicht betonen.
Ich verstehe was gemeint ist. Aber bisschen schräger Vergleich. Google nennt es “WebApp” aber es sind halt nur Websiten.

Beispiel Microsoft Teams:
Aufmachen ohne Internet. Geht nicht. Scrollen? Ruckelt. Suche? Schlecht. Editieren? Fehlerhaft. Hauptspeicherverbrauch? schluchzen

Leider sind wir ja eher im Jahr 2002 zurück. Mit Safari kann man sich nicht bei Teams anmelden, außer man weiß den Kniff mit dem Abschalten der Sicherheitsoption. Mit Firefox geht es, aber jeder zweite Screen blockiert Videoanrufe. Außer man weiß, das die Browserweiche (Wieso?!) im Kalender vergessen wurde. Da einen Call starten: Audio geht, Video geht, Screensharing geht, über lange Zeit und das unter Linux.

Wer noch “Firebird” verwendet hat bekommt echt üble Flashbacks. Ich etwa…


Für die jüngeren. Firebird war der erste Name von Firefox. Das W3C hätte so etwas verhindern sollen. Damals. Heute auch. Manchmal ist es echt nervig, wenn man den selben Mist wieder erlebt.
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: Zarlak, tollertyp, IllusionOn und 2 andere
flaphoschi schrieb:
JavaScript war zu recht hoch umstritten. Man hätte Websitenbetreibern diese Möglichkeiten nicht geben sollen.
Ich glaube, in dem Punkt werden wir uns in diesem Leben nicht mehr einig. Meiner Meinung nach ist es grundsätzlich eine großartige Entwicklung, dass Webseiten Code ausführen könne. Allein dieser Beitragseditor wäre in der Form sonst nicht möglich.


flaphoschi schrieb:
Aufritt Google. Jetzt muss der Webbrowser das DOM selber zusammen basteln.
Das ist meiner Meinung nach Blödsinn, der Browser muss das nicht. Aber er kann, wenn der Webseitenentwickler da so entscheidet. Teilweise ist das auch sinnvoll. Nur gibt es leider auch Entwickler, die für jeden Furz und selbst für statischen Content ne React-App hinklatschen. Das sagt dann mehr über den Entwickler als über den Browser.


flaphoschi schrieb:
Google nennt es “WebApp” aber es sind halt nur Websiten.
Technisch gesehen magst du recht haben, von der Programmierung her hat es nicht viel mit dem Bauen einfacher Webseiten zu tun. Wir haben im Unternehmen selbst Webapps für den internen Gebrauch, beim Entwickeln ist alles sehr ähnlich zur Entwiclung unserer Mobile Apps, viele Komponenten werden sogar geteilt. Diese Webapp könnten wir sogar mit minimalen Anpassungen für Android, iOS, MacOS, Linux oder Windows kompilieren. Die modernen Frameworks eben...


flaphoschi schrieb:
Aufmachen ohne Internet. Geht nicht. Scrollen? Ruckelt. Suche? Schlecht. Editieren? Fehlerhaft. Hauptspeicherverbrauch? schluchzen
Das ist dann vor allem schlechte Umsetzung. Unsere Webapp kannst du offline öffnen, aber natürlich nur mit den Daten vom letzten Internetkontakt arbeiten. Da ruckelt auch nicht viel.
Beim Google Workspace, den wir intern nutzen, ist es ähnlich.
 
  • Gefällt mir
Reaktionen: xXBobbyXx und kim88
cbtestarossa schrieb:
Am besten gleich deinstallieren und durch Firefox ersetzen.
Würde ich sofort tun, wenn der Browser nicht so unglaublich schlecht wäre. Keine Mausgesten, keine Tabgroups. Erweiterungen kommen nicht in Frage (und die verfügbaren sind auch richtig schlecht). Wäre grob fahrlässig.
 
Blutschlumpf schrieb:
Ich bekomme nur Chrome 120.0.6099.115 über den PlayStore.
Bei mir hat er heute morgen auf ***.116 geupdatet, was ja auch noch eine Menge Nummern von der in der Nachricht erwähnten 144 weg ist...
 
T3rm1 schrieb:
...und keine Touchscreengesten auf meinem Laptop (Linux, vielleicht geht's unter Windows).
 
pseudopseudonym schrieb:
...und keine Touchscreengesten auf meinem Laptop (Linux, vielleicht geht's unter Windows).
Auf MacOS geht's auch nicht. Ich liebe den Gedanken hinter Firefox und wünschte die Situation wäre eine andere aber das Teil ist einfach zu schlecht verglichen mit anderen Browsern.
 
pseudopseudonym schrieb:
...und keine Touchscreengesten auf meinem Laptop (Linux, vielleicht geht's unter Windows).

Lass Firefox unter Wayland laufen. Seit dem aktuellsten Firefox Update macht er das per Default (sofern du eine Wayland Session hast) und Firefox kann alle möglichen Touch-Screengesten. Gilt auch für alle Chromium basierten Browsern - bei denen muss man unter chrome://flags Wayland aber noch bewusst aktivieren.
 
  • Gefällt mir
Reaktionen: AlphaKaninchen
kim88 schrieb:
Lass Firefox unter Wayland laufen.
Läuft er.

kim88 schrieb:
Seit dem aktuellsten Firefox Update macht er das per Default (sofern du eine Wayland Session hast) und Firefox kann alle möglichen Touch-Screengesten.
Interessant, werde ich testen. Danke!
 
pseudopseudonym schrieb:
Ich glaube, in dem Punkt werden wir uns in diesem Leben nicht mehr einig. Meiner Meinung nach ist es grundsätzlich eine großartige Entwicklung, dass Webseiten Code ausführen könne. Allein dieser Beitragseditor wäre in der Form sonst nicht möglich.
Das Problem ist halt, das Webbrowser für verschiedene Dinge mit unterschiedlichen Anforderungen benutzt werden.

Einmal will man damit natürlich Webseiten angucken können selbst in dunklen Ecken des Internets, ohne das einem was passiert. Auf der anderen Seite soll das aber auch eine Laufzeitumgebung für portable Programme sein.

Fürs Erste will man eigentlich etwas mit einer möglichst schlanken Codebasis und damit wenig Angriffsfläche. Fürs Zweite will man natürlich möglichst viel Funktionalität und bis hin zu einem Durchbruch der local-remote-Grenze, damit man auch mal was auf den Rechner speichern oder drucken oder die Kamera benutzen kann usw.
Das sind gegensätzliche Anforderungen die sich nicht so ohne Weiteres miteinander vereinen lassen.

Hin zu kommt, das sich die Sachen auch nicht klar in verschiedene Programme trennen lassen. Dein Foren-Editor-Beispiel zeigt das ja deutlich. Soll das auch durch ein reines Webview-Programm abgedeckt werden oder will man das nur in einer fullfeatured-App-Runtime können? Die Grenzen sind da fließend.

Oben drauf kommt dann noch, das sich selbst normale Webseiten an das gewöhnt haben, was Browser so anbieten. Also selbst wenn man jetzt entscheiden würde, das man fürs unkontrollierte umhersurfen sich ein einfaches Webview-Programm ohne "Firelefanz" baut, würden daran viele Webseiten gar nicht mehr laufen.

Die Gesamtsituation ist also durchaus vertrackt und nicht mehr so einfach aufzulösen.

Man kann natürlich als Anwender selbst ein bisschen was machen. Man kann zum Beispiel unterschiedliche Browserinstanzen nutzen. Einmal für WebApps. Einmal "sandboxed", so das dem absolut nix erlaubt ist.
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: flaphoschi
T3rm1 schrieb:
Würde ich sofort tun, wenn der Browser nicht so unglaublich schlecht wäre. Keine Mausgesten, keine Tabgroups. Erweiterungen kommen nicht in Frage (und die verfügbaren sind auch richtig schlecht). Wäre grob fahrlässig.
Irgendwie immer die gleiche Diskussionen. Irgend ein Spezialfeature findet man immer?

Linux kann kein HDR mit X. Oder früher Shutterbrillen. Oder der VIM-Mode fehlt…

Firefox läuft schon lange gut mit Wayland. Der native Waylandmodus wurde jetzt endlich Default ;)

Ich vermute es wird noch ein paar Fehler geben, aber der Schritt war lange überfällig. Epiphany läuft seit Jahren nativ auf Wayland, ist aber eben auch ein reines Gtk3/4-Toolkit. Dafür braucht Epiphany seit dem Sandboxing zu viel Hauptspeicher.

Ergänzung ()

pseudopseudonym schrieb:
Das ist dann vor allem schlechte Umsetzung. Unsere Webapp kannst du offline öffnen, aber natürlich nur mit den Daten vom letzten Internetkontakt arbeiten. Da ruckelt auch nicht viel.
Beim Google Workspace, den wir intern nutzen, ist es ähnlich.

Ich denke wir sind uns - leider - einig dass das eine löblicher und sehr kleine Minderheit der WebApps betrifft.

Ich bin heilfroh das GNOME jetzt eine “local first” Initiative für auf autarke Anwendungen anlaufen lässt. Git und IMAP sind die besten Beispiel, schnell, verlässlich, autark und Server dienen nur der Synchronisierung und nicht der Abhängigkeit.

git —everything-is-local

Und halt doch gleich auf dem Server und bei allen anderen. Wenn man Server als Server nutzt und nicht als Methode um Abhängigkeit zu erzeugen.


PS: Wer will sollte mal mit about:config in Firefox JavaScript abschalten. Dann Amazon aufrufen.
Merkt Ihr was? Oder Hackernews. Die einzige Website die meckert ist Stackoverflow, aber halt auch nur für die Preview vom Markdown. Der tatsächlich nutzen von JavaScript ist auf guten Websiten nahe Null. Es kann natürlich sein das Cookiebanner nicht geladen werden. Kein schmerzlicher Verlust?
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: AlphaKaninchen und piepenkorn
Zurück
Oben