谷歌浏览器Chrome推出即曝安全漏洞

Google上周正式发布Chrome浏览器。发布数小时之后，知名互联网安全研究员Aviv Raff就发现了该浏览器的两个安全漏洞。

Raff表示，其中一个漏洞曾出现在较老版本的苹果Safari浏览器中，因为Chrome和Safari都是基于WebKit开发的。而另一个漏洞则是与Java有关的bug，这一bug在今年的Black Hat大会上曾被广泛讨论。

Raff指出，通过这两个漏洞，攻击者可以进行"地毯式轰炸"的攻击，并诱骗用户在新窗口打开可执行文件。他在自己网站上演示了如何进行攻击。在演示中，用户有可能会被诱骗下载并执行一个.jar文件，而在执行该文件时用户不会看到任何警告。

Raff的代码表明，恶意黑客能够使用一种非常狡猾的方式来进行攻击。用户只是点击了两下鼠标，恶意软件就会被植入Windows桌面中。

目前版本的Chrome使用WebKit 525.13版进行开发，这也是Safari 3.1版所使用的WebKit版本。这一版本的WebKit已经过期，并且是存在漏洞的。苹果已经在新的3.1.2版Safari浏览器中为该漏洞打了补丁。

此外，一些Vista用户在下载Chrome安装程序时发现，文件被直接下载到桌面。其中的IE漏洞也可能被攻击者利用。

在这两个漏洞中，其中一个可以让黑客攻击其浏览器。安全研究员Rishi Narang在securiteam网站上描述了该问题，并发布了概念验证。据Narang表示，黑客可以建立一个恶意链接，其中包括一个未定义的具有某些特性的处理。当用户点击链接，Chrome就瘫痪了。

另一个可能更为严重的漏洞可能会导致Chrome浏览器的用户下载恶意代码。问题的部分原因是， Google使用的是旧版的webkit，这一开放源代码浏览器技术也曾用在Apple的Safari浏览器上，包括Vulnerability 漏洞。

由研究员Aviv Raff所发现的问题在于：Chrome下载的文件的方式和Windows处理下载的文件的方式不能很好的兼容。

Chrome浏览器的默认设置下载文件到一个文件夹，然后显示下载栏上底部的浏览页面。用户点击，就可以打开该文件。如果该文件是可执行时， Windows会显示一个警告，这可以帮助用户避免无意中下载恶意代码。

但是Raff说，如果该文件是一个JAR(Java Archive，Java 归档文件)，不是像其他可执行文件。当用户点击下载栏，Windows就会自动运行该文件，而不会显示一个警告。

Raff认为，问题是下载栏的外观加剧了这一威胁。下载栏显示的看上去像是网页的一部分。在概念验证中，Raff提到，用户可能会认为他们仅仅是点击了网页上的一个链接或一个按钮，而不会认为自己打开了一个下载的文档。

他在一篇博客中写道：这又是一种“混合威胁”， 当两款不同的产品的两个小问题混合在一起时，就变成了一个更大的问题。

他认为Google在不久的将来还可能会面临其他类似的问题，因为Chrome采用了其他不同的浏览器的技术，包括苹果的Safari和Mozilla的Firefox。

“从安全角度来看，它还有很多问题。”Raff写道：“他们将要从这些功能的不同角度跟踪所有的安全漏洞，并完美修复Chrome。但这很可能会在这些vulnerabilitie漏洞被搞定，或由其他厂商来搞定或被公开报道之后。而这无疑将使Chrome的用户在相当长的时间内处在风险中。

Google并没有直接就此漏洞回应该问题，也没有表示其是否计划针对Chrome浏览器作出任何改进，以防止任何潜在的问题。相反，Google的发言人在一份声明中说，默认情况下，Chrome下载文件到一个单独的文件夹，而不是直接下载到用户的桌面，这就已经避免一些安全问题。此外，她说，用户可以在浏览器中设置在下载每个文件前都询问一下在哪里保存下载的文件。

但她没有表示Google是否打算升级到较新版本的webkit，其中涉及到如果用户希望下载jar文件，会显示一个对话框，提示用户是否确定下载。