Der Browser moderner Android-Versionen soll eine Lücke in der JavaScript-V8-Engine aufweisen. Angreifer könnten darüber böswillige Apps nachinstallieren, ohne dass Anwender es merken.

Im bei Android eingesetzten Chrome-Browser klafft eine Sicherheitslücke, mit der Angreifer über Webseiten böswillige Apps nachinstallieren könnten, ohne dass Anwender es merken. Die Sicherheitslücke wurde auf von Sicherheitsforscher Guang Gong bei der in Tokio abgehaltenen Security-Konferenz Pacsec demonstriert, wie die britische Webseite "The Register" berichtet.

Die Lücke soll in der JavaScript-Engine V8 des Browsers stecken und ausreichen, um bei Ausführung des Codes beliebige Apps nachzuinstallieren; es ist also kein Exploit, der mehrere Schwachstellen in Kombination ausnutzt. Gong hat die Lücke auf einem Nexus 6 demonstriert, aber keine Details zur Funktionsweise veröffentlicht. Über diese soll er sich aber mit einem auf der Konferenz anwesenden Google-Mitarbeiter ausgetauscht haben. Gong hat dem Bericht zufolge rund drei Monate gebraucht, um die Sicherheitslücke aufzuspüren und auszuloten; dafür soll Gong im Rahmen des Vulnerability Research Grant-Programms von Google entlohnt werden.

Da die Lücke in Chrome steckt, soll das Gros moderner Android-Geräte betroffen sein. Der Browser wird typischerweise über den Play Store aktualisiert, daher kann Google korrigierte Chrome-Versionen selbst ausliefern; anders als bei den Lücken in Android Mediaserver werden Besitzer von Android-Geräten daher wohl nicht darauf angewiesen sein, dass die Hardware-Hersteller korrigierte Android-Versionen freigeben, um die Lücke zu schließen.