Subdomain Takeover: Microsoft verliert Kontrolle über Windows-Kacheln

Mit einem Service von Microsoft konnten Webseiten Neuigkeiten auf Windows-Kacheln als sogenannte Windows Live Tiles darstellen. Den Service gibt es nicht mehr, die zugehörige Subdomain konnten wir übernehmen und eigene Kachelinhalte anzeigen.

Eine Exklusivmeldung von veröffentlicht am
Mit einem Kachellayout versuchte Microsoft, in Windows 8 ein neues Bedienkonzept einzuführen, aber bei den Nutzern kam das nie gut an.
Mit einem Kachellayout versuchte Microsoft, in Windows 8 ein neues Bedienkonzept einzuführen, aber bei den Nutzern kam das nie gut an. (Bild: Screenshot / Hanno Böck / Martin Wolf)

Ein Erfolgsprojekt waren die Kacheln oder Tiles nicht, die Microsoft mit Windows 8 eingeführt hat. Bei der Abschaltung eines dazugehörigen Webservices versäumte es das Unternehmen, die zugehörigen Nameserver-Einträge zu löschen. Das führte dazu, dass der entsprechende Host für einen Subdomain-Takeover-Angriff verwundbar war - und wir dessen Inhalte kontrollieren konnten. So konnten wir dort beliebige Bilder und Texte in den Kacheln anderer Webseiten anzeigen.

Die mit Windows 8 eingeführten Kacheln können eine Reihe von Funktionen erfüllen. Für Webseiten gibt es die Möglichkeit, über spezielle Meta-Tags Neuigkeiten auf einer Kachel darzustellen. Windows Live Tiles heißt die entsprechende Funktion. Bei Seiten, die dies unterstützen, können Nutzer im Edge-Browser die entsprechende Seite als Kachel anheften.

Microsoft-Service konvertiert RSS-Feed in Windows-Kacheln

Über ein spezielles XML-Format können die Webseiten dann den Inhalt der Kacheln steuern und dort etwa aktuelle News anzeigen. Um es Seiten zu erleichtern, die entsprechende Funktion anzubieten, stellte Microsoft einen Service bereit, der automatisch RSS-Feeds in das passende Format konvertierte.

Die zugehörige Webseite, auf der man sich die passenden Metatags erstellen lassen kann, ist weiterhin online, obwohl der Service nicht mehr funktioniert. Der Host notifications.buildmypinnedsite.com lieferte nur eine Fehlermeldung von Microsofts Cloud-Service Azure.

Der verwaiste Host war anfällig für einen sogenannten Subdomain-Takeover-Angriff. Der Host wurde auf eine Subdomain von Azure weitergeleitet. Bei Azure war diese Subdomain aber nicht registriert.

Azure-Subdomain konnte von uns neu registriert werden

Die Registrierung funktioniert über einen sogenannten CNAME-Nameservereintrag. Dieser leitet alle Anfragen von dem betroffenen Host auf die nicht registrierte Azure-Subdomain weiter. Wir konnten mit einem normalen Azure-Account diese Subdomain registrieren und den entsprechenden Host mit eintragen - und damit kontrollieren, welche Inhalte dort ausgeliefert werden.

Zu den Webseiten, die den inzwischen nicht mehr existenten Service von Microsoft nutzten, gehörten unter anderem der russische Mailhoster Mail.ru, das Blognetzwerk Engadget und in Deutschland Heise Online und Giga. Webseiten, welche den entsprechenden Meta-Tag einbinden, sollten diesen wohl am besten entfernen oder, falls sie die Funktion weiterhin anbieten wollen, die entsprechende XML-Datei selbst erzeugen.

Microsoft reagiert nicht

Wir haben Microsoft über das Problem informiert, bislang haben wir auf unsere Anfragen keine Antwort erhalten. Dauerhaft werden wir den Host nicht behalten: Da dort erhebliche Mengen an Traffic anfallen, kostet es Gebühren, die entsprechende Subdomain zu behalten und zu blockieren, auch wenn der entsprechende Service gestoppt ist. Wenn wir die Subdomain kündigen und Microsoft bis dahin nicht reagiert ist es möglich, dass sie in Zukunft für Angriffe missbraucht wird.

Die Kacheln, die Microsoft zunächst in Windows 8 auf dem Startbildschirm eingeführt und in Windows 10 ins Startmenü verschoben hat, waren bei Nutzern nie besonders beliebt. Die Webseite Windowscentral spekulierte im Januar, dass die Kacheln bald abgeschafft werden könnten. Das kommende Windows Lite soll bereits ohne Kacheln erscheinen.

Nachtrag vom 18. April 2019, 11:53 Uhr

In der Zwischenzeit hat Microsoft den entsprechenden Nameserver-Eintrag gelöscht. Die Subdomain ist damit nicht mehr unter unserer Kontrolle. Eine Antwort von Microsoft haben wir nach wie vor nicht erhalten.

This article is also available in English.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


a user 23. Apr 2019

MS hat noch nie super produkte gemacht. Nicht einmal ihre erfolgreichsten Produkte waren...

HierIch 23. Apr 2019

Danke!

Michael H. 23. Apr 2019

Und auch hier... wenn ich sie da reinschicke, ist es immerhin kein Hausfriedensbruch...

Tuxgamer12 22. Apr 2019

Finde ich ja lustig. Also dass du nicht einmal realisiert hast, dass ich nicht einmal...



Aktuell auf der Startseite von Golem.de
Solarenergie
Berlin fördert Balkonkraftwerke mit bis zu 500 Euro

Neben anderen Städten und Bundesländern unterstützt nun auch Berlin die Anschaffung von kleinen Solaranlagen. Jedoch nicht für alle Bürger.

Solarenergie: Berlin fördert Balkonkraftwerke mit bis zu 500 Euro
Artikel
  1. Navigation und GPS: Google Maps baut 3D-Städte und Inneneinrichtungen mit KI
    Navigation und GPS
    Google Maps baut 3D-Städte und Inneneinrichtungen mit KI

    Google Maps wird mit diversen neuen Funktionen ausgestattet - etwa mit Navigation per Augmented Reality oder 3D-Modellen bekannter Städte.

  2. Sicherheitslücken schließen, Cyber-Angriffe abwehren
     
    Sicherheitslücken schließen, Cyber-Angriffe abwehren

    Wenn Clouddienste, Smartphones, IoT-Geräte und klassische Computertechnik zusammenspielen, darf die Sicherheit nicht auf der Strecke bleiben. Vier Online-Workshops der Golem Karrierewelt zeigen Perspektiven auf.
    Sponsored Post von Golem Karrierewelt

  3. Der Herr der Ringe: Lego bringt Bruchtal aus 6.100 Teilen und mit 15 Figuren
    Der Herr der Ringe
    Lego bringt Bruchtal aus 6.100 Teilen und mit 15 Figuren

    Die gesamte Gemeinschaft des Ringes versammelt sich in den Hallen von Bruchtal, das als Lego-Diorama Herr-der-Ringe-Fans erfreuen kann.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Powercolor RX 7900 XTX 1.119€ • WSV-Finale bei MediaMarkt • Samsung 980 Pro 2TB (PS5-komp.) 174,99€ • MSI RTX 4080 1.349€ • Samsung 55" 4K QLED Curved Gaming-Monitor -25% • Asus RX 7900 XT 939,90€ • DAMN-Deals: AMD CPUs zu Tiefstpreisen • PCGH Cyber Week nur bis 9.2. [Werbung]
    •  /