Browser-Fehler: Opera hat reagiert, Microsoft plant nichts

Etliche Web-Browser geben Herkunft von JavaScript-Dialogboxen nicht preis

Am gestrigen 21. Juni 2005 wiesen die Sicherheitsspezialisten von Secunia auf eine Spoofing-Sicherheitsanfälligkeit in zahlreichen Web-Browsern hin, die als ungefährlich eingestuft wurde. Aber dennoch bietet Opera bereits seit ein paar Tagen eine aktualisierte Version des Browsers an, um das dahinter stehende Risiko zu minimieren, während Microsoft überhaupt keinen Handlungsbedarf sieht.

Zahlreiche Web-Browser zeigen in einer per JavaScript geöffneten Dialogbox nicht an, welche Webseite die Dialogbox aufgerufen hat. Wie Secunia mitteilt, lässt sich dieser Umstand dazu missbrauchen, um Spoofing-Angriffe auszuführen, indem Angreifer ihre Opfer in den Glauben versetzen, die aufgerufene Dialogbox stamme von einer vertrauenswürdigen Seite. Tatsächlich wird die Dialogbox aber von einer im Hintergrund liegenden Webseite aufgerufen, bei der auch die durch die Dialogbox vorgenommenen Eingaben landen. Ein Angreifer könnte so an vertrauliche Informationen gelangen.

Firefox 1.05 Nightly Build Secunia selbst hat das dahinter stehende Risiko für alle betroffenen Browser als gering eingestuft und stellt eine Testseite bereit, die den Fehler illustriert und erlaubt, den eigenen Browser auf die Anfälligkeit hin zu überprüfen. Das Problem steckt in allen aktuellen Versionen vom Internet Explorer, von Firefox und Mozilla sowie von den Mac-Browsern Internet Explorer für Mac, Camino, iCab sowie Safari. Nur die vor wenigen Tagen veröffentlichte Version 8.01 von Opera ist gegen derartige Angriffsversuche gefeit. Das Nightly Build der kommenden Version 1.0.5 von Firefox bringt derzeit keine Abhilfe, auch wenn Firefox 1.0.5 vor allem Sicherheitsprobleme beheben soll.

Opera 8.01 Obwohl das Risiko als gering eingestuft wurde, hat Opera seinen Browser überarbeitet, so dass dieser nun in jeder JavaScript-Dialogbox anzeigt, von welcher URL diese aufgerufen wurde. Während Opera offenbar im Vorfeld über das Sicherheitsrisiko informiert wurde und es für notwendig erachtet hatte, das Browser-Verhalten entsprechend zu verändern, sieht Microsoft keinerlei Handlungsbedarf.

Internet Explorer 6 In einem aktuellen Security Advisory geht Microsoft zwar auf das Sicherheitsrisiko ein und bestätigt die von Secunia gemachten Angaben und Beobachtungen, sieht jedoch eben im Unterschied zu Opera keinerlei Veranlassung, einen Patch für den Browser anzubieten. Demnach betrifft das Problem den Internet Explorer 5.01, 5.5 sowie 6.0 für die Windows-Plattform und den Internet Explorer für Mac 5.1. Obwohl der Fehler für zahlreiche Versionen des Internet Explorers bestätigt wurde, setzt Microsoft Nutzer des Browsers ganz bewusst dem Risiko aus, Opfer eines solchen Phishing-Angriffs zu werden.