Security: Dutzende Schwachstellen in Newsletter-Diensten

Die Sicherheitslücken reichen von XSS-Fehlern über unsichere Formulare bis hin zu SQL-Injection-Schwachstellen: In drei weit verbreiteten E-Mail-Marketing- und Newsletter-Diensten haben IT-Sicherheitsexperten zahlreiche Schwachstellen entdeckt. Sie sind in Absprache mit den Herstellern inzwischen behoben worden.

Artikel veröffentlicht am ,
Bei mehreren Newsletter-Diensten haben Datenexperten zahlreiche Schwachstellen entdeckt.
Bei mehreren Newsletter-Diensten haben Datenexperten zahlreiche Schwachstellen entdeckt. (Bild: Nside)

In der Software aktueller E-Mail-Marketing-, Newsletter- und Bulk-SMS-Dienste haben IT-Sicherheitsexperten zahlreiche Schwachstellen entdeckt. Sie erlaubten den Zugriff auf Datenbanken mit Benutzerinformationen über SQL-Injections oder die Übernahme fremder Benutzerkonten durch das Stehlen von Sitzungscookies. Das IT-Sicherheitsunternehmen Nside Attack Logic informierte in Zusammenarbeit mit dem BSI (Bundesamt für Sicherheit in der Informationstechnik) und dem US-Cert (Computer Emergency Response Team) die betroffenen Unternehmen. Die Schwachstellen wurden inzwischen behoben.

Stellenmarkt
  1. IT-Administrator Service & Support (m/w/d) - Fokus Client Management
    Sana IT Services GmbH, Berlin, Woltersdorf
  2. Systemadministrator (w/m/d) mit Entwicklungsmöglichkeit zum DevOps Engineer (w/m/d)
    Bildbau AG Neue Medien, Berlin
Detailsuche

Nside untersuchte die Cloud-Dienste einiger Anbieter, die weit verbreitet eingesetzt werden, nach eigenen Angaben haben sie zusammen mehrere Tausend Kunden. Über sie sollen täglich Millionen von E-Mails versendet werden.

Gestohlene Kundendaten sind möglicherweise bereits im Umlauf

Bei einem haben die IT-Sicherheitsexperten beispielsweise eine SQL-Injection-Schwachstelle aufgespürt, die einen Zugriff auf die gesamte Kundendatenbank ermöglichte, sowie eine persistente Cross-Site-Scripting-Schwachstelle im Abmeldeformular, über die Sitzungscookies anderer Kunden gestohlen werden konnten. Eine ähnliche Schwachstelle entdeckten die Datenexperten bei zwei weiteren Anbietern. Zu den weniger kritischen Fehlern zählen eine unsichere Passwortänderung ohne Eingabe des ursprünglichen Passworts sowie der Zugriff der Statistiken eines anderen Kunden.

Zwar seien die Schwachstellen inzwischen weitgehend behoben worden, es sei jedoch ungewiss, wie viele der Schwachstellen bereits unbemerkt ausgenutzt worden sind. Ob und in welchem Umfang persönliche Daten von Kriminellen bereits gestohlen wurden, lasse sich schwer sagen, schreibt Nside in einem Blogeintrag. Anhand der Sachlage sei aber davon auszugehen. Kunden sollten vor der Nutzung solcher Werkzeuge einen Herstellernachweis über durchgeführte Sicherheitstests verlangen. Nside geht davon aus, dass ähnliche kritische Schwachstellen in den Newsletter-Werkzeugen anderer Anbieter ebenfalls zu finden sind.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Autonomes Schiff
Yara muss noch viel lernen

Eigentlich sollte die Yara Birkeland schon allein fahren. Da alles aber komplexer ist als gedacht, fährt das Frachtschiff noch mit Crew, sammelt Daten und lernt.
Ein Bericht von Werner Pluta

Autonomes Schiff: Yara muss noch viel lernen
Artikel
  1. Mele Quieter 3C: Mini-PC ist passiv gekühlt und unterstützt drei Monitore
    Mele Quieter 3C
    Mini-PC ist passiv gekühlt und unterstützt drei Monitore

    Der Mele Quieter 3C ist kompakt und kommt ohne Lüfter aus. Außerdem soll er mehrere Monitore ansprechen können.

  2. Google Fonts: Abmahnungen an Webseitenbetreiber mit Google-Schriftarten
    Google Fonts
    Abmahnungen an Webseitenbetreiber mit Google-Schriftarten

    Nach einer Entscheidung des Landgerichts München erhalten Webseitenbetreiber mit eingebundenen Google Fonts vermehrt Abmahnungen.

  3. Gehalt in der IT-Branche: Verdienen treue Angestellte weniger als Wechsler?
    Gehalt in der IT-Branche
    Verdienen treue Angestellte weniger als Wechsler?

    Es gibt gute Gründe, lang bei einer Firma zu bleiben. Finanziell wird diese Treue aber eher nicht belohnt, sagt ein IT-Personalberater.
    Ein Interview von Peter Ilg

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Günstig wie nie: MSI 29,5" 200 Hz 259€, LG QNED 75" 120 Hz 1.455,89€ • MindStar (XFX RX 6950 XT 999€, Gainward RTX 3070 559€) • WD Black 2TB m. Kühlkörper (PS5) 219,90€ • Gigabyte Deals • Der beste Gaming-PC für 2.000€ • Apple Week bei Media Markt • be quiet! Deals [Werbung]
    •  /