Abo
  • Services:
Anzeige
Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen.
Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen. (Bild: Screenshot:Golem.de)

Security: XSS-Lücke in Yahoo-Mail gefixt

Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen.
Yahoo hat eine Sicherheitslücke in seinem Webmailer geschlossen. (Bild: Screenshot:Golem.de)

Eine XSS-Lücke in Yahoo-Mail ermöglichte es Angreifern, fremde Accounts zu übernehmen. Sie hätten alle E-Mails der Nutzer weiterleiten und ausgehende E-Mails mit Viren infizieren können, schreibt ein Sicherheitsforscher. Yahoo hat bereits reagiert.

Yahoo hat eine Sicherheitslücke in seinem E-Mail-Dienst behoben. Der Sicherheitsforscher Jouko Pynnönen hatte dem Unternehmen nach eigenen Angaben einen Proof-of-Concept geschickt, der es ermöglichte, E-Mails von Yahoo-Nutzern ohne deren Wissen weiterzuleiten. Außerdem sei es möglich gewesen, ausgehende Mails mit Viren zu infizieren, schreibt Pynnönen in einem Blogpost. Es soll keine aktiv ausgenutzten Exploits gegeben haben. Betroffen waren der Webmailer von Yahoo, nicht aber die Apps des Unternehmens.

Anzeige

Der Code-Filter lässt Reste zurück

Das Problem liegt in der Art und Weise, wie der Webmailer möglicherweise bösartige Code-Fragmente verarbeitet. Um herauszufinden, welcher Code Probleme bereiten könnte, erstellte Pynnönen eine E-Mail mit allen bekannten HTML-Tags. Zwar funktioniere die Technik relativ gut, es blieben aber Reste fehlerhaften Codes zurück - das könnten Angreifer ausnutzen, um präparierte Botschaften zu versenden. Als Beispiel zeigt er, dass die Eingabe INPUT TYPE="checkbox" CHECKED="hello" NAME="check box" in INPUT TYPE="checkbox" CHECKED= NAME="check box" umgewandelt würde (Spitze Klammern aus Rücksicht auf unser Redaktionssystem entfernt).

Angreifer könnten mit einer entsprechend präparierten E-Mail ein IMG-Tag erstellen, das den ganzen Bildschirm füllt. Mit dem Onmouseover-Attribut übergebener Java-Script-Code würde dann sofort ausgeführt. In einem Demo-Video zeigt Pynnönen, wie er ausgehenden E-Mails automatisch eine Signatur mit Video hinzufügt, obwohl diese eigentlich deaktiviert sind. Die Sicherheitslücke wurde nach Angaben von Pynnönen am 26. Dezember vergangenen Jahres über die Plattform von Hacker One an Yahoo gemeldet. Das Unternehmen hat einen Bug-Bounty von 10.000 US-Dollar ausgezahlt und will die Schwachstelle am 6. Januar dieses Jahres geschlossen haben.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. Daimler AG, Stuttgart
  2. Daimler AG, Leinfelden-Echterdingen
  3. P3 group GmbH, Stuttgart, Böblingen
  4. Fidor AG, München


Anzeige
Top-Angebote
  1. 147,89€ (Vergleichspreis ab 219€)
  2. 79,90€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Amazon Fire TV

    Die Rückkehr der Prime-Banderole

  2. Fire TV Stick 2 mit Alexa im Hands on

    Amazons attraktiver Einstieg in die Streaming-Welt

  3. Snap Spectacles

    Snap verkauft Sonnenbrille mit Kamera für 130 US-Dollar

  4. Status-Updates

    Whatsapp greift mit vergänglichem Status Snapchat an

  5. Megaupload

    Dotcom droht bei Auslieferung volle Anklage in den USA

  6. PC-Markt

    Unternehmen geben deutschen PC-Käufen einen Schub

  7. Ungepatchte Sicherheitslücke

    Google legt sich erneut mit Microsoft an

  8. Torus

    CoreOS gibt weitere Eigenentwicklung auf

  9. Hololens

    Verbesserte AR-Brille soll nicht vor 2019 kommen

  10. Halo Wars 2 im Test

    Echtzeit-Strategie für Supersoldaten



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Merkels NSA-Vernehmung: Die unerträgliche Uninformiertheit der Kanzlerin
Merkels NSA-Vernehmung
Die unerträgliche Uninformiertheit der Kanzlerin
  1. US-Präsident Zuck it, Trump!
  2. Begnadigung Danke, Chelsea Manning!
  3. Glasfaser Nun hängt die Kabel doch endlich auf!

Apple: Planet der affigen Fernsehshows
Apple
Planet der affigen Fernsehshows
  1. Streaming Vodafone GigaTV ermöglicht Fernsehen unterwegs
  2. Kabelnetz Unitymedia hat neue Preise für Internetzugänge
  3. Deutsche TV-Plattform über VR "Ein langer Weg vom Wow-Effekt zum dauerhaften Format"

Mobile-Games-Auslese: Schiffbruch auf der Milchstraße für mobile Spieler
Mobile-Games-Auslese
Schiffbruch auf der Milchstraße für mobile Spieler

  1. Re: Kann der Screenmirroring per WiFi direct?

    TechBen | 08:38

  2. Re: "Schaden"

    S-Talker | 08:38

  3. Re: Stromversorgung

    Sybok | 08:38

  4. Re: Das was hier voellig irre ist ...

    Berner Rösti | 08:38

  5. Wie geht das??

    Undichsagnoch | 08:35


  1. 08:05

  2. 08:00

  3. 07:27

  4. 07:12

  5. 18:33

  6. 17:38

  7. 16:38

  8. 16:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel