• IT-Karriere:
  • Services:

Security: XSS-Lücke in Yahoo-Mail gefixt

Eine XSS-Lücke in Yahoo-Mail ermöglichte es Angreifern, fremde Accounts zu übernehmen. Sie hätten alle E-Mails der Nutzer weiterleiten und ausgehende E-Mails mit Viren infizieren können, schreibt ein Sicherheitsforscher. Yahoo hat bereits reagiert.

Artikel veröffentlicht am ,
Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen.
Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen. (Bild: Screenshot:Golem.de)

Yahoo hat eine Sicherheitslücke in seinem E-Mail-Dienst behoben. Der Sicherheitsforscher Jouko Pynnönen hatte dem Unternehmen nach eigenen Angaben einen Proof-of-Concept geschickt, der es ermöglichte, E-Mails von Yahoo-Nutzern ohne deren Wissen weiterzuleiten. Außerdem sei es möglich gewesen, ausgehende Mails mit Viren zu infizieren, schreibt Pynnönen in einem Blogpost. Es soll keine aktiv ausgenutzten Exploits gegeben haben. Betroffen waren der Webmailer von Yahoo, nicht aber die Apps des Unternehmens.

Der Code-Filter lässt Reste zurück

Stellenmarkt
  1. KONZEPTUM GmbH, Koblenz
  2. Lösch und Partner GmbH Projektmanagement & IT-Consulting, München

Das Problem liegt in der Art und Weise, wie der Webmailer möglicherweise bösartige Code-Fragmente verarbeitet. Um herauszufinden, welcher Code Probleme bereiten könnte, erstellte Pynnönen eine E-Mail mit allen bekannten HTML-Tags. Zwar funktioniere die Technik relativ gut, es blieben aber Reste fehlerhaften Codes zurück - das könnten Angreifer ausnutzen, um präparierte Botschaften zu versenden. Als Beispiel zeigt er, dass die Eingabe INPUT TYPE="checkbox" CHECKED="hello" NAME="check box" in INPUT TYPE="checkbox" CHECKED= NAME="check box" umgewandelt würde (Spitze Klammern aus Rücksicht auf unser Redaktionssystem entfernt).

Angreifer könnten mit einer entsprechend präparierten E-Mail ein IMG-Tag erstellen, das den ganzen Bildschirm füllt. Mit dem Onmouseover-Attribut übergebener Java-Script-Code würde dann sofort ausgeführt. In einem Demo-Video zeigt Pynnönen, wie er ausgehenden E-Mails automatisch eine Signatur mit Video hinzufügt, obwohl diese eigentlich deaktiviert sind. Die Sicherheitslücke wurde nach Angaben von Pynnönen am 26. Dezember vergangenen Jahres über die Plattform von Hacker One an Yahoo gemeldet. Das Unternehmen hat einen Bug-Bounty von 10.000 US-Dollar ausgezahlt und will die Schwachstelle am 6. Januar dieses Jahres geschlossen haben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 11€
  2. 19€ (Bestpreis!)
  3. 6,99€

Folgen Sie uns
       


Samsung Galaxy Note 20 (Ultra) - Hands On

Die neuen Galaxy Note 20 und Galaxy Note 20 Ultra von Samsung kommen wieder mit dem S Pen.

Samsung Galaxy Note 20 (Ultra) - Hands On Video aufrufen
The Secret of Monkey Island: Ich bin ein übelriechender, groggurgelnder Pirat!
The Secret of Monkey Island
"Ich bin ein übelriechender, groggurgelnder Pirat!"

Das wunderbare The Secret of Monkey Island feiert seinen 30. Geburtstag. Golem.de hat einen neuen Durchgang gewagt - und wüst geschimpft.
Von Benedikt Plass-Fleßenkämper


    Xbox, Playstation, Nvidia Ampere: Wo bleiben die HDMI-2.1-Monitore?
    Xbox, Playstation, Nvidia Ampere
    Wo bleiben die HDMI-2.1-Monitore?

    Trotz des Verkaufsstarts der Playstation 5 und Xbox Series X fehlt von HDMI-2.1-Displays jede Spur. Fündig werden wir erst im TV-Segment.
    Eine Analyse von Oliver Nickel

    1. AV-Receiver Fehlerhafte HDMI-2.1-Chips führen zu Blackscreen

    Pinephone im Test: Das etwas pineliche Linux-Phone für Bastler
    Pinephone im Test
    Das etwas pineliche Linux-Phone für Bastler

    Mit dem Pinephone gibt es endlich wieder ein richtiges Linux-Telefon, samt freier Treiber und ohne Android. Das Projekt scheitert aber leider noch an der Realität.
    Ein Test von Sebastian Grüner

    1. Linux Mehr Multi-Touch-Support in Elementary OS 6
    2. Kernel Die Neuerungen im kommenden Linux 5.9
    3. VA-API Firefox bringt Linux-Hardwarebeschleunigung auch für X11

      •  /