Sicherheitsloch: Angreifer können Gmail-E-Mails mitlesen

Angreifer legen eigene Filterregeln in Google Mail an

In Google Mail alias Gmail wurde ein Sicherheitsleck entdeckt, über das Angreifer beliebige E-Mails mitlesen können. Angreifer schleusen dazu spezielle Filtereinstellungen in Googles E-Mail-Dienst ein, indem Opfer lediglich zum Besuch einer präparierten Webseite verleitet werden müssen, während sie zugleich bei Gmail angemeldet sind.

Bei der Sicherheitslücke handelt es sich um ein so genanntes Cross-Site-Request-Forgery-Leck (CSRF), das von Petko D. Petkov alias pdp entdeckt wurde. Er will keinen Beispiel-Code zu dieser Sicherheitslücke veröffentlichen, um Google die Möglichkeit zu geben, den Fehler ohne Schaden auszubessern.

Zur Ausnutzung der Sicherheitslücke muss ein Opfer in einem Browser-Fenster bei Google Mail angemeldet sein. Schafft es ein Angreifer nun, den Anwender auf eine manipulierte Webseite zu locken, können beliebige Filterregeln in Google Mail angelegt werden, ohne dass der Nutzer davon etwas bemerkt. Solch ein Filter kann etwa jede E-Mail an eine bestimmte Adresse weiterleiten, so dass ein Fremder alle über Google Mail versendeten Nachrichten mitlesen kann.

Bisher hat Google das Sicherheitsleck nicht geschlossen. Petkov sieht eine große Gefahr hinter dem Sicherheitsleck, weil ein eingeschleuster Filter auch nach Beseitigung des Sicherheitslochs weiter aktiv bleibt.