Browser-Fehler: Opera hat reagiert, Microsoft plant nichts

Etliche Web-Browser geben Herkunft von JavaScript-Dialogboxen nicht preis

Am gestrigen 21. Juni 2005 wiesen die Sicherheitsspezialisten von Secunia auf eine Spoofing-Sicherheitsanfälligkeit in zahlreichen Web-Browsern hin, die als ungefährlich eingestuft wurde. Aber dennoch bietet Opera bereits seit ein paar Tagen eine aktualisierte Version des Browsers an, um das dahinter stehende Risiko zu minimieren, während Microsoft überhaupt keinen Handlungsbedarf sieht.

Artikel veröffentlicht am ,

Zahlreiche Web-Browser zeigen in einer per JavaScript geöffneten Dialogbox nicht an, welche Webseite die Dialogbox aufgerufen hat. Wie Secunia mitteilt, lässt sich dieser Umstand dazu missbrauchen, um Spoofing-Angriffe auszuführen, indem Angreifer ihre Opfer in den Glauben versetzen, die aufgerufene Dialogbox stamme von einer vertrauenswürdigen Seite. Tatsächlich wird die Dialogbox aber von einer im Hintergrund liegenden Webseite aufgerufen, bei der auch die durch die Dialogbox vorgenommenen Eingaben landen. Ein Angreifer könnte so an vertrauliche Informationen gelangen.

Firefox 1.05 Nightly Build
Firefox 1.05 Nightly Build
Secunia selbst hat das dahinter stehende Risiko für alle betroffenen Browser als gering eingestuft und stellt eine Testseite bereit, die den Fehler illustriert und erlaubt, den eigenen Browser auf die Anfälligkeit hin zu überprüfen. Das Problem steckt in allen aktuellen Versionen vom Internet Explorer, von Firefox und Mozilla sowie von den Mac-Browsern Internet Explorer für Mac, Camino, iCab sowie Safari. Nur die vor wenigen Tagen veröffentlichte Version 8.01 von Opera ist gegen derartige Angriffsversuche gefeit. Das Nightly Build der kommenden Version 1.0.5 von Firefox bringt derzeit keine Abhilfe, auch wenn Firefox 1.0.5 vor allem Sicherheitsprobleme beheben soll.

Opera 8.01
Opera 8.01
Obwohl das Risiko als gering eingestuft wurde, hat Opera seinen Browser überarbeitet, so dass dieser nun in jeder JavaScript-Dialogbox anzeigt, von welcher URL diese aufgerufen wurde. Während Opera offenbar im Vorfeld über das Sicherheitsrisiko informiert wurde und es für notwendig erachtet hatte, das Browser-Verhalten entsprechend zu verändern, sieht Microsoft keinerlei Handlungsbedarf.

Internet Explorer 6
Internet Explorer 6
In einem aktuellen Security Advisory geht Microsoft zwar auf das Sicherheitsrisiko ein und bestätigt die von Secunia gemachten Angaben und Beobachtungen, sieht jedoch eben im Unterschied zu Opera keinerlei Veranlassung, einen Patch für den Browser anzubieten. Demnach betrifft das Problem den Internet Explorer 5.01, 5.5 sowie 6.0 für die Windows-Plattform und den Internet Explorer für Mac 5.1. Obwohl der Fehler für zahlreiche Versionen des Internet Explorers bestätigt wurde, setzt Microsoft Nutzer des Browsers ganz bewusst dem Risiko aus, Opfer eines solchen Phishing-Angriffs zu werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


T. 23. Jun 2005

blabla... ich weiss wie man virenscanner usw. anwendet. kannst du mir glauben du...

LD 22. Jun 2005

Ich muss auch nicht wissen, wie man ein Rind schlachtet, um ein Steak zubereiten zu...

Lukas 22. Jun 2005

Also ich finds ein zu negativer und nicht ganz fairen text. mein ich surfe zwar auch...

wupperbayer 22. Jun 2005

Wieso Schleichwerbung? Den Redakteuren der PC-Welt gefällt der Firefox...



Aktuell auf der Startseite von Golem.de
Streaming
Netflix zieht Maßnahmen gegen Konten-Sharing zurück

Netflix wird vorerst wohl doch nichts unternehmen, wenn ein Netflix-Konto unerlaubterweise mit anderen geteilt wird.

Streaming: Netflix zieht Maßnahmen gegen Konten-Sharing zurück
Artikel
  1. Objekte in Javascript: Von Literalen, Konstruktoren und Klassen
    Objekte in Javascript
    Von Literalen, Konstruktoren und Klassen

    Objekte kennen alle Entwickler, in Javascript kann man dennoch leicht auf den Holzweg geraten. Wir zeigen, wo die Gefahren lauern und wie man auf dem richtigen Pfad bleibt.
    Eine Anleitung von Dirk Koller

  2. 343 Industries: Halo-Neustart offenbar mit Unreal Engine
    343 Industries
    Halo-Neustart offenbar mit Unreal Engine

    Das Projekt Tatanka wird zur Zukunft von Halo und dem Master Chief: Laut einem Bericht plant Entwickler 343 Industries einen echten Neustart.

  3. Quartalszahlen: Datacenter und Embedded verhelfen AMD zu leichtem Gewinn
    Quartalszahlen
    Datacenter und Embedded verhelfen AMD zu leichtem Gewinn

    Der schwache PC-Markt macht sich weiterhin bemerkbar. Doch Serverprozessoren können durch deutliche Gewinne erneut für Ausgleich sorgen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • 15% Extra-Rabatt auf Fernseher bei Otto • Roccat Kone Pro -56% • Xbox Series S + Dead Space 299,99€ • PCGH Cyber Week • MindStar: ASRock RX 7900 XT 949€ • AMD CPU kaufen, SW Jedi Survivor gratis dazu • Philips LED TV 65" 120 Hz Ambilight 999€ • KF DDR4-3600 32GB 91,89€ [Werbung]
    •  /