Der Webbrowser Brave ist etwa aufgrund der integrierten Werbeblockade recht beliebt. Nun wurde eine Sicherheitslücke darin entdeckt, durch die Angreifer die Quelle eines Downloads falsch anzeigen lassen können. Ein Brave-Update stopft das Sicherheitsleck.
Anzeige
Auf der Bug-Bounty-Plattform Hackerone hat der User mit dem Handle syarif07 den sicherheitsrelevanten Fehler gemeldet. In den "Datei speichern"-Dialog des Betriebssystems können Angreifer demnach anstatt der eigentlichen Download-Quelle eine andere URL anzeigen lassen. Das geht syarif07 zufolge darauf zurück, dass Brave für die Anzeige den Referrer-Header auswerte, der sich fälschen lasse und sich somit eine vertrauenswürdige Quelle vorgaukeln lasse. Dadurch können Angreifer etwa Malware-Downloads verschleiern.
Zunächst hatte der Melder als Schweregrad der Lücke "kritisch" vorgeschlagen, die Brave-Entwickler haben sie jedoch auf "hoch" zurückgestuft – kritische Lücken hätten einen Hotfix erfordert, das gab ihnen mehr Zeit für die Programmkorrektur. Eine CVE-Nummer wurde inzwischen ebenfalls vergeben und heute morgen veröffentlicht (CVE-2025-23086, kein CVSS-Wert, Risiko "hoch").
Der CVE-Eintrag erklärt die Lücke folgendermaßen: Auf den meisten Desktop-Plattfomen verwendet Brave Browser 1.70 bis 1.73 eine Funktion zum Anzeigen der Quell-Seite im vom Betriebssystem bereitgestellten Dateiauswahl-Dialog, wenn eine Seite Nutzern einen Dialog zum Hoch- oder Herunterladen von Dateien anzeigt. Die Quelle wurde in einigen Fällen nicht korrekt hergeleitet, was zusammen mit einer Open-Referrer-Schwachstelle auf einer vertrauenswürdigen Webseite von einer bösartigen Webseite missbraucht werden kann, um einen Download als von der vertrauenswürdigen Seite stammend anzeigen zu lassen.
Die Sicherheitslücke schließt Brave mit der Version 1.74.48, die in der Mitte vergangener Woche veröffentlicht wurde. Sie steht auf der Download-Seite von Brave zum Herunterladen bereit. Wer Brave einsetzt, sollte überprüfen, ob die fehlerbereinigte Fassung oder sogar eine neuere bereits aktiv ist und gegebenfalls das Update nachholen.
(
Kommentare