Leak bei Googlemail
Eine Sicherheitslücke bei Googlemail ermöglicht Angreifern, ihre eigenen Filter für das Postfach des Angegriffenen zu definieren. Ein solcher Missbrauch (CSRF) hat mehreren Berichten zufolge offenbar auch bereits stattgefunden, und wurde zur Übernahme ganzer Domains genutzt.
Es reicht aus, ein Fenster/Tab mit angemeldetem Googlemail geöffnet zu haben, während man ein weiteres Fenster/Tab mit einer präparierten Website öffnet.
Ein ähnliches Problem gab es bereits Mitte letzten Jahres. Bisher ging man davon aus, dass dies seinerzeit auch behoben wurde. Analysen bestätigen aber offenbar, dass Google immer noch sitzungsbezogen, und nicht requestbezogen authentifiziert – was vor CSRF-Angriffen schützen würde.
Weitere Informationen (in englischer Sprache) gibt es hier und hier.
Abhilfe für die Mozilla-Gemeinde schafft hier das NoScript-Add-On, da es versucht, verdächtige Anfragen zu erkennen/blockieren.
via heise
Update: Google bestreitet in einer offiziellen Erklärung, dass derzeit eine solche Sicherheitslücke existiert und vermutet, dass hier Phishing im Spiel ist. Dort wird auch empfohlen, Googlemail nur per https zu nutzen.
via Golem
More From KRiZZi
KRiZZi Recommends
- Feuerschalen als Grill (Garten und grillen)
- Feuerschalen für Garten, Terrasse und Balkon (Garten und grillen)
