Auch neue Software ist nicht vor alten Fehlern geschützt. Von einem alten Bug betroffen ist der Chrome-Browser von Google, wie der lettische Sicherheitsforscher Andris Atteka auf seinem Blog berichtet.

Kombiniert man eine 16 Zeichen lange URL mit sogenannten "Nullzeichen" hängt sich das Surftool auf und muss neu gestartet werden. Es reicht, Chrome mit einer Adresse wie http://x/%%30%30 zu füttern, um den Absturz zu provozieren, wobei "x" mit beliebigen Zahlen, Ziffern und Domains ersetzt werden kann.

Schabernack möglich

Der Fehler eignet sich freilich für bösartigen Schabernack, etwa durch das Teilen eines Links, der dann bei nichtsahnenden Usern den Browser abschmieren lässt. URL-Shortening-Dienste wie is.gd oder bit.ly lassen eine Kürzung nicht zu oder entfernen dabei die Nullzeichen, was dies zumindest erschwert. Sicherheitsrelevant dürfte der Bug nicht sein. Nach einem Absturz lassen sich geöffnete Tabs allerdings wiederherstellen, die "Problem-URL" wird von Chrome dabei nicht neu geladen.

Betroffen ist Chrome inklusive der aktuellen Version 45, allerdings nur unter Windows und OS X sowie laut WebStandard-Lesern auch die Linux-Version. Die Anfälligkeit zeigt sich demnach auch bei Chromium. Die mobile Ausgabe von Chrome stürzt bei einer Eingabe der Adresse hingegen nicht ab. Firefox 40 (getestet unter Windows), der Internet Explorer 11 sowie Microsoft Edge sind ebenfalls nicht anfällig. (gpi, 20.09.2015)