Bitcoin

Google Chrome Sicherheitslücke: Datenleck durch ausgenutzte OAuth-Code Schwachstelle

Bitcoin
Google Chrome data leakage bug confirmed as actively exploited

Eine kürzlich entdeckte Schwachstelle im Google Chrome Browser ermöglicht das Leaken sensibler OAuth-Codes und stellt eine ernste Gefahr für Nutzerkonten dar. Die aktive Ausnutzung dieser Sicherheitslücke hat zu einer schnellen Einordnung in den Known Exploited Vulnerabilities-Katalog geführt, was Unternehmen und Behörden zum sofortigen Handeln zwingt.

Der alltägliche Einsatz des Google Chrome Browsers ist für Millionen von Menschen unverzichtbar. Doch wie bei jeder Software können auch hier Sicherheitslücken auftreten, die für Angreifer wertvolle Einfallstore bieten. Ende Mai 2025 hat Google eine gravierende neue Schwachstelle im Chrome-Browser offengelegt, die es ermöglicht, OAuth-Codes unbemerkt auszuspähen. Die Auswirkungen dieser Sicherheitslücke sind weitreichend und verlangen sofortige Maßnahmen von Anwendern sowie Organisationen. Die als CVE-2025-4664 klassifizierte Schwachstelle betrifft einen Fehler in der Policy Enforcement des sogenannten Chrome Loaders.

Konkret erlaubt diese Lücke es Angreifern, über manipulierte Link-Header in Browser-Anfragen, die vollständigen Query-Parameter einer weiterleitenden URL abzugreifen. Unter Query-Parametern versteht man Teilbereiche einer URL, die oft sensible Daten wie E-Mail-Adressen oder Tokens enthalten können. Besonders kritisch ist an dieser Stelle der Diebstahl von OAuth-Codes, da diese Zugang zu Nutzerkonten eröffnen und in Folge Accountübernahmen ermöglichen. Entdeckt wurde die Schwachstelle vom Sicherheitsexperten Vsevolod Kokorin, der über die Social-Media-Plattform X (ehemals Twitter) die technische Funktionsweise und das Risiko erläuterte. Seine Erklärung verdeutlicht, dass das Problem dadurch entsteht, dass Chrome bei Sub-Resource-Requests wie der Nachladung von Bildern oder Skripten Link-Header auswertet, die ein Angreifer kontrollieren kann.

Mit der Ausnutzung der Referrer-Policy, speziell dem Wert „unsafe-url“, wird der gesamte Referrer inklusive sensibler Informationen in der Browseranfrage übertragen und somit für Angreifer zugänglich. Diese Schwachstelle lässt sich relativ einfach ausnutzen, da Angreifer Link-Header, die auf bösartige HTML-Seiten oder vertrauenswürdige Websites mit eingebetteten Drittanbieterinhalten gesetzt wurden, verwenden können. Zum Beispiel könnte ein manipuliertes Bild oder Script von einer kompromittierten Drittpartei eingebettet sein und so als Vehikel dienen, um den Link-Header mit einem riskanten Referrer-Policy-Wert zu übermitteln. Nutzer würden davon nichts mitbekommen – der Browser führt die Anfrage im Hintergrund aus. Die Medienberichterstattung, Experteneinschätzungen und letztlich auch die Entscheidung der US-amerikanischen Cybersecurity & Infrastructure Security Agency (CISA), die Schwachstelle in den Katalog der Known Exploited Vulnerabilities (KEV) aufzunehmen, zeigen die hohe Relevanz.

Die Aufnahme in den KEV-Katalog signalisiert, dass die Schwachstelle bereits aktiv von Angreifern ausgenutzt wird. Behörden und Unternehmen, insbesondere jene der Federal Civilian Executive Branch (FCEB), werden angehalten, die behobene Chrome-Version spätestens zum 5. Juni 2025 einzuspielen, um das Risiko eines Angriffs zu minimieren. Google hat reagiert und den Fehler in Chrome Version 136.0.

7103.113 behoben. Nutzer sollten dringend sicherstellen, dass sie diese Version oder eine neuere verwenden, um sich vor Ausnutzung zu schützen. Unternehmen müssen interne Update-Routinen beschleunigen und sicherstellen, dass alle Endgeräte mit der aktuellen Version ausgestattet sind. Bei Verwendung firmeneigener Sicherheitslösungen und Endpoint Protection sollte überprüft werden, ob diese potenzielle Angriffe auf diesen Pfad überwachen oder unterbinden können.

Diese Schwachstelle reiht sich leider in eine Liste weiterer kritischer Chrome-Sicherheitslücken ein, die ebenfalls in jüngster Zeit entdeckt und teilweise aktiv missbraucht wurden. Im März 2025 wurde bereits eine schwerwiegende Zero-Day-Lücke mit der Kennung CVE-2025-2783 gemeldet, die einem Angreifer das Ausbrechen aus der Browser-Sandbox erlauben konnte – ein besonders kritisches Risiko, da so Schadcode unbegrenzt auf Computersystemen ausgeführt werden kann. Solche Konsequenzen zeigen die Vielschichtigkeit von Bedrohungen, die Webbrowser heutzutage ausgesetzt sind. Neben Chrome wurden auch andere populäre Produkte und Komponenten ins Visier genommen. So hat CISA ebenfalls gefährliche Schwachstellen in Router-Modellen von DrayTek und in SAP NetWeaver bekannt gemacht.

Diese parallelen Sicherheitsprobleme machen deutlich, wie wichtig es ist, patch- und update-basiertes Sicherheitsmanagement konsequent umzusetzen. Die steigende Zahl komplexer Angriffsvektoren erfordert von Unternehmen und Privatnutzern erhöhte Aufmerksamkeit. Auch die Art der Ausnutzung dieses Lecks in Chrome provoziert Bedenken hinsichtlich Datenschutz und den Schutz persönlicher Daten. OAuth wird weit verbreitet genutzt, um Drittanbieterdiensten Zugriff auf Nutzerkonten in einem kontrollierten Umfang zu geben. Wird ein OAuth-Code kompromittiert, verlieren Nutzer die Kontrolle über ihre Konten und sensible Dienste können manipuliert oder missbraucht werden.

Daraus ergeben sich Risiken für Identitätsdiebstahl, finanziellen Schaden oder Verlust von geistigem Eigentum. Ein bewährtes Mittel, um sich vor derartigen Cross-Site-Information Leaks zu schützen, ist eine stringente Kontrolle über eingebettete Inhalte auf Webseiten. Webseitenbetreiber sollten prüfen, welche Drittanbieter-Assets eingebunden werden und ob deren Herkunft vertrauenswürdig ist. Ebenso spielt die richtige Anwendung von Referrer-Policies in der Webentwicklung eine entscheidende Rolle, um die Weitergabe von sensitiven URL-Parametern zu minimieren. Zusammenfassend hat die Entdeckung und aktive Ausnutzung der Chrome-Sicherheitslücke den Fokus erneut auf die Herausforderungen gelegt, denen moderne Webbrowser ausgesetzt sind.

Nutzer sollten regelmäßige Updates nicht nur als lästige Pflicht ansehen, sondern als essentiellen Schutzmechanismus für ihre digitale Identität und Privatsphäre. IT-Verantwortliche sind gefordert, Schwachstellenmanagement schnell und lückenlos umzusetzen. Die Meldung zeigt auch, wie wichtig die Zusammenarbeit von Sicherheitsforschern, Unternehmen und staatlichen Institutionen ist, um rasch auf aktive Bedrohungen reagieren zu können. Indem Schwachstellen offen kommuniziert und zeitnah behoben werden, lässt sich das Risiko für breite Nutzergruppen signifikant reduzieren. Dennoch bleibt Wachsamkeit die beste Verteidigung gegen die stetig wachsende Gefahrenlandschaft im Internet.

Für alle Nutzer des Google Chrome Browsers gilt deshalb: Prüfen Sie Ihre Browserversion, installieren Sie notwendige Updates sofort, vermeiden Sie das Laden fragwürdiger Webseiten und achten Sie auf potenzielle Sicherheitswarnungen. Sichere Passwörter, Zwei-Faktor-Authentifizierung und der bewusste Umgang mit Zugriffsrechten sind weitere Bausteine, die helfen, persönliche Daten im digitalen Alltag zu schützen und Cyberkriminalität vorzubeugen.

Automatischer Handel mit Krypto-Geldbörsen Kaufen Sie Ihre Kryptowährung zum besten Preis

Als Nächstes
Microsoft's ad claims top Copilot+ PCs up to 58% faster than M3 MacBook Air
Freitag, 27. Juni 2025. Microsofts Copilot+ PCs: Bis zu 58 % schneller als das M3 MacBook Air – Ein tiefgehender Vergleich

Microsoft bewirbt seine Copilot+ PCs mit der Behauptung, dass sie im Mehrkern-Benchmark bis zu 58 % schneller als das M3 MacBook Air sind. Dieser umfassende Vergleich beleuchtet die Hintergründe, technische Aspekte und die Relevanz dieser Aussage für Verbraucher und den Markt.

Google Ships Android 'Advanced Protection' Mode to Thwart Surveillance Spyware
Freitag, 27. Juni 2025. Android 16: Googles Neuer ‚Advanced Protection‘ Modus Schützt Vor Gefährlicher Spionagesoftware

Google präsentiert mit dem ‚Advanced Protection‘ Modus in Android 16 eine umfassende Sicherheitslösung gegen hochentwickelte mobile Malware und Überwachungsspionage, die speziell für gefährdete Nutzer wie Journalisten und Regierungsmitarbeiter entwickelt wurde.

'Second chance': convicted US chemist Charles Lieber moves to Chinese university
Freitag, 27. Juni 2025. Neue Perspektiven für Charles Lieber: Vom US-Chemiker zur Professur an chinesischer Universität

Charles Lieber, ehemals prominenter US-Chemiker und Harvard-Professor, beginnt eine neue wissenschaftliche Karriere an einer chinesischen Universität, nachdem er wegen falscher Angaben vor US-Behörden verurteilt wurde. Dieser Artikel beleuchtet seine berufliche Neuorientierung, die Hintergründe seines Prozesses und die Bedeutung seines Wechsels für die globale Forschungslandschaft.

Why So Many Ultra-Expensive Supercars Have Montana License Plates
Freitag, 27. Juni 2025. Warum so viele ultra-teure Supersportwagen mit Montana-Kennzeichen unterwegs sind

Montana hat sich durch spezielle Steuergesetze zu einem beliebten Ort für die Anmeldung von Luxusautos entwickelt. Die Besonderheiten des Bundesstaates ermöglichen es wohlhabenden Autobesitzern, Millionen von Dollar an Verkaufssteuern zu sparen, indem sie ihre Supersportwagen legal mit Montana-Kennzeichen registrieren.

Warren Buffett Remains Optimistic About America. Here Are Top American Companies Worth Investing In
Freitag, 27. Juni 2025. Warum Warren Buffett weiterhin optimistisch in die Zukunft Amerikas und führender US-Unternehmen investiert

Warren Buffett setzt seit Jahrzehnten auf die Stärke der US-Wirtschaft und führt Anleger gekonnt zu langfristigem Erfolg. Ein Blick auf seine Investmentstrategie und die aussichtsreichsten amerikanischen Unternehmen, die Anleger heute im Fokus haben sollten.

The Best Warren Buffett Stocks to Buy With $500 Right Now
Freitag, 27. Juni 2025. Die besten Warren Buffett Aktien, die Sie jetzt mit 500 Dollar kaufen können

Warren Buffett gilt als einer der erfolgreichsten Investoren aller Zeiten. Entdecken Sie, welche Aktien aus seinem Portfolio besonders attraktiv sind und wie Sie mit einem Investment von 500 Dollar profitieren können.

Cathie Wood Is Buying This Top E-Commerce Stock That's Down 36%, and She Won't Stop Selling Palantir
Freitag, 27. Juni 2025. Cathie Wood setzt auf Shopify trotz Kursrückgang – Warum sie Palantir-Aktien weiterhin verkauft

Cathie Wood, die berühmte Technologie-Investorin, kauft verstärkt Aktien von Shopify, einem führenden E-Commerce-Unternehmen, dessen Kurs aktuell um 36% gefallen ist. Gleichzeitig reduziert sie ihre Position in Palantir, einem Unternehmen für künstliche Intelligenz.