Abo
  • Services:
Anzeige
Eine GIF-Datei mit eingebautem Javascript-Code
Eine GIF-Datei mit eingebautem Javascript-Code (Bild: Screenshot Golem.de)

X-Content-Type-Options: nosniff

Dass dies ein potenzielles Sicherheitsrisiko darstellt, ist schon länger bekannt. Microsoft hat mit dem Internet Explorer 9 einen inoffiziellen Header eingeführt. Setzt der Server den HTTP-Header X-Content-Type-Options: nosniff, so wird dem Browser signalisiert, dass der MIME-Type in jedem Fall respektiert werden soll. Javascript-Code in Bildern wird damit ignoriert.

Anzeige

Inzwischen hat auch Google die Auswertung dieses Headers in Chrome implementiert und es gibt Bemühungen, diesen im Rahmen der WhatWG als Standard zu definieren. Für Firefox gibt es einen experimentellen Patch. Github hat für die Unterstützung in Firefox eine Bounty von 1.000 Dollar ausgeschrieben.

In Tests von Golem.de verhielten sich Chrome und der Internet Explorer in Details unterschiedlich bei der Interpretation des Headers. So war es in Chrome immer noch möglich, ein Bild mit dem falschen MIME-Type anzuzeigen, beispielsweise ein GIF-Bild, welches als image/png ausgeliefert wird. Der Internet Explorer blockiert die Anzeige in diesem Fall. Sicherheitskritisch dürfte dieser Unterschied nicht sein. Ein als image/gif oder mit einem anderen fehlerhaften MIME-Type ausgeliefertes Javascript wurde jedoch von beiden Browsern korrekt blockiert.

Vollständiger Schutz nur mit nosniff

Webentwickler, die sich mittels Content Security Policy vor Cross-Site-Scripting-Angriffen schützen wollen, sollten auf jeden Fall auch den nosniff-Header mitschicken. Nur dann ist der Schutz, den CSP bietet, wirklich vollständig. Zu bedenken ist dabei, dass der Header von der jeweiligen Datei mitgeschickt werden muss. Es reicht also beispielsweise in PHP-Anwendungen nicht, wenn das PHP-Skript in seiner Ausgabe den nosniff-Header mitschickt. Es muss auch dafür gesorgt werden, dass Bilder und andere Dateien jeweils den Header mitsenden. Auf Apache-Webservern kann dies in der Datei .htaccess konfiguriert werden.

 Cross-Site-Scripting: Javascript-Code in Bilder einbetten

eye home zur Startseite
hannob (golem.de) 04. Nov 2014

[...] Sorry, nein: Das ist falsch. Firefox macht genauso Content Sniffing wie die...

neustart 03. Nov 2014

Jap, hab ich auch gedacht. Wenn man die Sicherheitsschlacht irgendwie bewältigen will...

zZz 03. Nov 2014

Ich nutze seit geraumer Zeit die Server Configs aus dem HTML5 Boilerplate Paket und passe...

bjs 03. Nov 2014

bei einem webmail könnte das zb der fall sein. dabei wird html code von unbekannter...



Anzeige

Stellenmarkt
  1. Heintz van Landewyck GmbH, Trier
  2. SCHILLER Medizintechnik GmbH, Baunatal, Stade
  3. DRÄXLMAIER Group, Vilsbiburg bei Landshut
  4. über Hanseatisches Personalkontor Hannover, Gallin bei Hamburg


Anzeige
Top-Angebote
  1. (u. a. Ghost Recon Wildlands 26,99€, Assasins Creed Origins 40,19€, For Honor 19,79€, Watch...
  2. 79,00€
  3. bei Alternate.de

Folgen Sie uns
       


  1. A350-1000

    Airbus' größter zweistrahliger Jet wird ausgeliefert

  2. Flightsim Labs

    Flugsimulator-Addon klaut bei illegalen Kopien Passwörter

  3. Entdeckertour angespielt

    Assassin's Creed Origins und die Spur der Geschichte

  4. Abwehr

    Qualcomm erhöht Gebot für NXP um 5 Milliarden US-Dollar

  5. Rockpro64

    Bastelplatine kommt mit USB-C, PCIe und Sechskernprozessor

  6. Jameda

    Ärztin setzt Löschung aus Bewertungsportal durch

  7. Autonomes Fahren

    Forscher täuschen Straßenschilderkennung mit KFC-Schild

  8. Fernsehstreaming

    Magine TV zeigt RTL-Sender in HD-Auflösung

  9. TV

    SD-Abschaltung bei Satellitenfernsehen steht jetzt fest

  10. PM1643

    Samsung liefert SSD mit 31 TByte aus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Materialforschung: Stanen - ein neues Wundermaterial?
Materialforschung
Stanen - ein neues Wundermaterial?
  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

Samsung C27HG70 im Test: Der 144-Hz-HDR-Quantum-Dot-Monitor
Samsung C27HG70 im Test
Der 144-Hz-HDR-Quantum-Dot-Monitor
  1. Volumendisplay US-Forscher lassen Projektion schweben wie in Star Wars
  2. Sieben Touchscreens Nissan Xmotion verwendet Koi als virtuellen Assistenten
  3. CJ791 Samsung stellt gekrümmten Thunderbolt-3-Monitor vor

Lebensmittel-Lieferservices: Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
Lebensmittel-Lieferservices
Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
  1. Kassenloser Supermarkt Technikfehler bei Amazon Go
  2. Amazon Go Kassenloser Supermarkt öffnet
  3. ThinQ LG fährt voll auf künstliche Intelligenz ab

  1. Re: Recht von Jameda

    AllDayPiano | 06:10

  2. Re: Endlich das Hauptproblem erkannt

    kazhar | 06:05

  3. Re: Interessante Fragen bleiben unbeantwortet

    Mett | 05:51

  4. Re: 100$ + Netzteil + SD-Karte

    Workoft | 05:47

  5. Das ist doch mal eine tolle Idee

    motzerator | 05:25


  1. 23:10

  2. 17:41

  3. 17:09

  4. 16:32

  5. 15:52

  6. 15:14

  7. 14:13

  8. 13:55


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel