比特网(ChinaByte)9月5日消息(litao984lt 编译)，安全研究人员已经在Google的Chrome浏览器中发现了漏洞，其中包括可以让用户下载恶意代码。
Google的最新Web浏览器的测试版本发布仅仅一天1天之后，安全研究人员报告在其中发现的漏洞。
其中一个漏洞可以让黑客攻击其浏览器。安全研究员Rishi Narang在securiteam网站上描述了该问题，并发布了概念验证。据Narang表示，黑客可以建立一个恶意链接，其中包括一个未定义的具有某些特性的处理。当用户点击链接，Chrome就瘫痪了。
另一个可能更为严重的漏洞可能会导致Chrome浏览器的用户下载恶意代码。问题的部分原因是， Google使用的是旧版的webkit，这一开放源代码浏览器技术也曾用在Apple的Safari浏览器上，包括Vulnerability 漏洞。
由研究员特拉维夫拉夫(Aviv Raff)所发现的问题在于：Chrome下载的文件的方式和Windows处理下载的文件的方式不能很好的兼容，他说。
Chrome浏览器的默认设置下载文件到一个文件夹。然后显示下载栏上底部的浏览页面。用户点击，就可以打开该文件。如果该文件是可执行时， Windows会显示一个警告，这可以帮助用户避免无意中下载恶意代码。
但是，拉夫说，如果该文件是一个JAR(Java Archive，Java 归档文件)，不是像其他可执行文件。当用户点击下载栏，Windows就会自动运行该文件，而不会显示一个警告。
拉夫说，问题是下载栏的外观加剧了这一威胁。下载栏显示的看上去像是网页的一部分。在概念验证中，拉夫提到，用户可能会认为他们仅仅是点击了网页上的一个链接或一个按钮，而不会认为自己打开了一个下载的文档。
他在一篇博客中写道：这又是一种“混合威胁”， 当两款不同的产品的两个小问题混合在一起时，就变成了一个更大的问题。
他认为Google在不久的将来还可能会面临其他类似的问题，因为Chrome采用了其他不同的浏览器的技术，包括苹果的Safari和Mozilla的Firefox。
“从安全角度来看，它还有很多问题。”拉夫写道：“他们将要从这些功能的不同角度跟踪所有的安全漏洞，并完美修复Chrome。但这很可能会在这些vulnerabilitie漏洞被搞定，或由其他厂商来搞定或被公开报道之后。而这无疑将使Chrome的用户在相当长的时间内处在风险中。
Google并没有直接就此漏洞回应该问题，也没有表示其是否计划针对Chrome浏览器作出任何改进，以防止任何潜在的问题。相反，Google的发言人在一份声明中说，默认情况下，Chrome下载文件到一个单独的文件夹，而不是直接下载到用户的桌面，这就已经避免一些安全问题。此外，她说，用户可以在浏览器中设置在下载每个文件前都询问一下在哪里保存下载的文件。
但她没有表示Google是否打算升级到较新版本的webkit，其中涉及到如果用户希望下载jar文件，会显示一个对话框，提示用户是否确定下载。
