Tabbed-Browsing: Sicherheitslücken in mehreren Web-Browsern

Sicherheitslöcher gestatten das Abschöpfen vertraulicher Daten

Das Sicherheitsunternehmen Secunia hat in zahlreichen Web-Browsern zwei Sicherheitslücken in den Tabbed-Browsing-Funktionen der betreffenden Applikationen entdeckt, worüber Angreifer sich Zugang zu vertraulichen Informationen verschaffen können. Auch der Internet Explorer ist von diesen Sicherheitslöchern betroffen, wenn ein Browser-Aufsatz mit Tabbed-Browsing-Funktionen verwendet wird.

Eines der von Secunia gefundenen Sicherheitslücken steckt in den Browsern Mozilla, Firefox, Netscape, Opera, Safari und Konqueror in den jeweils aktuellen Versionen. Von diesem Sicherheitsrisiko ist der Internet Explorer nicht direkt betroffen, da Microsofts Browser Tabbed Browsing gar nicht beherrscht. Dies ändert sich aber, wenn die Browser-Aufsätze Avant oder Maxthon (ehemals MyIE2) verwendet werden, so dass dann auch der Internet Explorer ein Risiko darstellt.

Eine entsprechend präparierte Webseite kann eine Dialogbox aus einem nicht aktiven Browser-Fenster heraus öffnen und ihre Opfer in den Glauben versetzen, die Dialogbox stamme von der gerade aktiven Seite. Ein Angreifer könnte sich so vertrauliche Daten wie Kontoverbindungen aneignen, indem diese von einer vermeintlich vertrauenswürdigen Webseite abgefragt werden. Um diese Sicherheitsgefahr ausnutzen zu können, muss das Opfer dazu gebracht werden, von einer böswilligen Webseite aus einem Link zu einer vertrauenswürdigen Quelle zu folgen und Letztere in einem neuen Unterfenster zu öffnen.

Secunia bietet eine Testseite an, die das Sicherheitsloch ausführt, um so zu überprüfen, ob das Sicherheitsleck im verwendeten Browser steckt und ausgenutzt werden kann.

Eine weitere Sicherheitslücke in den Tabbed-Browsing-Funktionen befindet sich in den Browsern Mozilla, Firefox, Netscape sowie den Browser-Aufsätzen für den Internet Explorer Avant und Maxthon. Auch hier muss ein Angreifer ein Opfer erst dazu bringen, einen Link einer vertrauenswürdigen Seite von einer böswilligen Webseite aus anzuklicken und diese Seite in einem neuen Unterfenster zu öffnen. Dann kann sich ein nicht aktives Browser-Fenster den Fokus einer anderen mit Formularfeldern versehenen Webseite schnappen, um so an vertrauliche Informationen wie Kreditkartendaten oder Bankverbindungen zu gelangen.

Auch für dieses Sicherheitsleck stellt Secunia eine Testseite bereit, um die Anfälligkeit des verwendeten Browsers zu prüfen.

Gegenüber Secunia hat bislang nur Opera bekannt gegeben, den Fehler mit der kommenden Version 7.60 beheben zu wollen. Um einen Angriff über diese beiden Sicherheitslöcher zu unterbinden, genügt es, JavaScript im Browser zu deaktivieren. Alternativ sollte man darauf achten, vertrauenswürdige Seiten nicht zusammen mit unbekannten Webseiten in einer Browser-Instanz zu öffnen.