Abo
  • Services:

Sicherheitslücke bei eBay

Unbefugte erhalten Zugriff auf eBay-Kontodaten

Im Onlineauktionshaus eBay befindet sich ein Sicherheitsloch, das Angreifer zum Ausspähen fremder eBay-Kontodaten missbrauchen können, wie Falle-Internet.de berichtet. Um Opfer eines solchen Angriffs zu werden, muss lediglich eine entsprechend präparierte eBay-Auktion im Browser geöffnet werden. In einer Stellungnahme bestätigte eBay das Problem grundsätzlich, hält die Gefahren allerdings für relativ gering, da nur Nutzer, die zuvor überprüft wurden, die entsprechenden Techniken nutzen dürfen.

Artikel veröffentlicht am ,

Um das von Falle-Internet.de beschriebene Sicherheitsloch auszunutzen, stellt der Angreifer eine Auktion in eBay ein und integriert darin eine präparierte Flash-Animation. Sobald sich ein angemeldetes eBay-Mitglied die betreffende Auktion ansieht, kann der Angreifer dessen Kontodaten über Cross-Site-Scripting einsehen, berichtet Falle-Internet.de. Damit erhält er Zugriff auf alle Daten unter "Mein eBay", die eigentlich nur für den angemeldeten Nutzer einsehbar sein sollten. Das Opfer soll davon nichts bemerken. Dazu verbergen sich in der Flash-Animation schadhafte JavaScript-Befehle, worüber die betreffenden eBay-Cookies an den Angreifer verschickt werden.

Stellenmarkt
  1. Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO, Stuttgart, Esslingen
  2. eco Verband der Internetwirtschaft e.V., Köln

Durch das Sicherheitsleck erhalten Unbefugte Zugriff auf den Namen sowie die Anschrift des eBay-Nutzers einschließlich seiner E-Mail-Adresse. Immerhin sind alle Bank- und Kreditkartendaten teilweise unkenntlich gemacht, so dass sich diese so nicht ohne weiteres ausspionieren lassen. Darüber hinaus kann der Unbefugte aber die Kennwort-Sicherheitsabfrage einsehen sowie alle zurückliegenden und zu beobachtende Auktionen betrachten. Auch der Zugriff auf alle Mitteilungen im Bereich "Meine Nachrichten" sind dadurch ungeschützt.

Diese vertraulichen Informationen können dazu genutzt werden, jemandem gefälschte Angebote zu unterbreiten. Dabei helfen die korrekten Informationen über das Opfer, die entsprechenden Informationen als vertrauenswürdig wirken zu lassen.

Nach Angaben von Falle-Internet.de wurde eBay Mitte Dezember 2007 auf die Probleme hingewiesen, ohne dass diese seitdem beseitigt wurden. Derzeit können sich eBay-Kunden nur gegen solche Angriffe schützen, indem sie das Flash-Plug-In deinstallieren oder die JavaScript- und ActiveX-Funktionen im Browser deaktiviert werden. Ohne aktiviertes JavaScript bzw. ActiveX lassen sich die wesentlichen Funktionen von eBay allerdings nicht mehr nutzen. Und ohne Flash-Plug-In werden zahlreiche Webseiten nicht mehr korrekt angezeigt, so dass der Nutzer dann erhebliche Komforteinbußen zu verzeichnen hat.

In einer Stellungnahme bestätigte eBay, dass mittels JavaScript oder Flash Schadsoftware erzeugt werden kann. Der Einsatz solcher Schadsoftware habe aber "keine praktische Relevanz" auf eBay. Zudem sei die Nutzung von JavaScript oder Flash nur Teilnehmern am PowerSeller-Programm, "geprüften Mitgliedern", verifizierten PayPal- und eBay-Mitgliedern vorbehalten, die länger als 500 Tage bei eBay angemeldet sind und mehr als 500 Bewertungspunkte aufweisen. Dabei handle es sich um besonders vertrauenswürdige eBay-Mitglieder, bei denen nahezu ausgeschlossen sei, dass sie eBay in einer solch missbräuchlichen Art und Weise nutzen, meint das Auktionshaus.

Zudem setzt eBay nach eigenen Angaben zusätzliche Schutzmaßnahmen ein, um entsprechende Schadsoftware zu erkennen und solche Angebote aus dem Marktplatz zu entfernen.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)
  2. 34,99€ (erscheint am 15.02.)
  3. 4,99€

Ruhrpottler 13. Mär 2008

Wieso verdammt muss man Schwuchtel als beleidigung nutzen? sind schwule schlechtere...

Martin F. 13. Mär 2008

Ja, hatte ich früher auch, ebenso wie PDF Download, aber NoScript ist da eben...


Folgen Sie uns
       


MTG Arena Ravnica Allegiance - Livestream 1

Im ersten Teil unseres Livestreams erklären wir alle neuen Mechaniken von Ravnica Allegiance.

MTG Arena Ravnica Allegiance - Livestream 1 Video aufrufen
WLAN-Tracking und Datenschutz: Ist das Tracken von Nutzern übers Smartphone legal?
WLAN-Tracking und Datenschutz
Ist das Tracken von Nutzern übers Smartphone legal?

Unternehmen tracken das Verhalten von Nutzern nicht nur beim Surfen im Internet, sondern per WLAN auch im echten Leben: im Supermarkt, im Hotel - und selbst auf der Straße. Ob sie das dürfen, ist juristisch mehr als fraglich.
Eine Analyse von Harald Büring

  1. Gefahr für Werbenetzwerke Wie legal ist das Tracking von Online-Nutzern?
  2. Landtagswahlen in Bayern und Hessen Tracker im Wahl-O-Mat der bpb-Medienpartner
  3. Tracking Facebook wechselt zu First-Party-Cookie

Nubia X im Hands on: Lieber zwei Bildschirme als eine Notch
Nubia X im Hands on
Lieber zwei Bildschirme als eine Notch

CES 2019 Nubia hat auf der CES eines der interessantesten Smartphones der letzten Monate gezeigt: Dank zweier Bildschirme braucht das Nubia X keine Frontkamera - und dementsprechend auch keine Notch. Die Umsetzung der Dual-Screen-Lösung gefällt uns gut.

  1. Videostreaming Plex will Filme und Serien kostenlos und im Abo anbieten
  2. Solar Cow angesehen Elektrische Kuh gibt Strom statt Milch
  3. H2Bike Alpha Wasserstoff-Fahrrad fährt 100 Kilometer weit

Eden ISS: Raumfahrt-Salat für Antarktis-Bewohner
Eden ISS
Raumfahrt-Salat für Antarktis-Bewohner

Wer in der Antarktis überwintert, träumt irgendwann von frischem Grün. Bei der Station Neumayer III hat das DLR vor einem Jahr ein Gewächshaus in einem Container aufgestellt, in dem ein Forscher Salat und Gemüse angebaut hat. Das Projekt war ein Test für künftige Raumfahrtmissionen. Der verlief erfolgreich, aber nicht reibungslos.
Ein Interview von Werner Pluta

  1. Eden ISS DLR will Gewächshaus-Container am Südpol aus Bremen steuern
  2. Eu-Cropis DLR züchtet Tomaten im Weltall
  3. NGT Cargo Der Güterzug der Zukunft fährt 400 km/h

    •  /