[News] Spionagegefahr durch Tabbed-Browsing

[dmncstmpfl]

Spionagegefahr durch Tabbed-Browsing

Die Sicherheitsfirma Secunia warnt in einem Advisory vor Gefahren, wenn Browser mehrere Seiten in einem Fenster darstellen, was oft als Tabbed-Browsing bezeichnet wird. Das Grundproblem dabei ist, dass auch verdeckte Seiten Skriptbefehle ausführen können, der Anwender jedoch denkt, er interagiere mit der im Vordergrund dargestellten Seite. So landen unter Umständen Eingaben mit Passwörtern oder anderen wichtigen Daten auf dem falschen Server.

Secunia demonstriert das Problem mit zwei Szenarien. In einem öffnet der Anwender eine Seite der Citibank in einem neuen Tab. Dann öffnet sich eine Dialogbox, die Informationen abfragt. Dieses Dialogfenster erscheint unter Umständen vor der Citibank-Seite, wird aber von der ursprünglichen Demo-Seite gesteuert. Diese erhält folglich auch alle Eingaben des Anwenders.

Bei der zweiten Demo setzt ein im Hintergrund regelmäßig ausgeführter JavaScript-Befehl den Fokus auf ein Eingabeformular der Demo-Seite. Wenn der Anwender eine neue Seite in einem neuen Tab öffnet und versucht, dort etwas einzugeben, landet es somit immer im Eingabeformular der versteckten, aber immer noch aktiven Demo-Seite.

Obwohl teilweise anders berichtet, ist es nicht unbedingt erforderlich, dass der Anwender wie bei den Secunia-Demos die auszuspionierende Seite von der bösen aus öffnet, indem er dort auf einen Link klickt. Voraussetzung ist lediglich, dass beide Seiten im selben Fenster als Tabs dargestellt werden.

Betroffen sind alle Browser, die Tabbed-Browsing unterstützen, also unter anderem Mozilla, Opera, Konqueror und Safari. Microsofts Internet Explorer kennt keine Tabs, wer jedoch Erweiterungen wie Avant oder Maxthon (früher MyIE2) einsetzt, ist ebenfalls anfällig. Laut Secunia hat Opera versprochen, das Problem in Release 7.60 zu beseitigen. Das Abschalten von JavaScript macht diese Art von Missbrauch zwar unmöglich, bedeutet allerdings auch, dass viele Seiten nicht mehr funktionieren. Um diese unerwünschte Interaktionen zwischen Seiten auszuschließen, genügt es jedoch, Seiten, die die Eingabe von wichtigen Daten erfordern, immer in einem eigenen Fenster -- oder noch besser in einer frischen Browser-Instanz zu öffnen.

Quelle: heise.de

Auch der Firefox ist also nicht Fehlerlos. Wer hätte das gedacht
Langsam merken die Angreifer also wohin der Trend geht.

 

[Mr. Snoot]

Auch der Firefox ist also nicht Fehlerlos. Wer hätte das gedacht

Jeder, der die News verfolgt

https://www.computerbase.de/2004-10/spoofing-luecken-bei-tabbed-browsing/

 

[Michael]

Das ist aber schon ein alter Hut s.MozillaZine. Am 04.10. bekannt geworden und kurz darauf bereits im nightly build gefixt. Allerdings nur als Übergangslösung. Im nächsten Release soll aber bereits ein richtiger Patch (der vll schon vorher kommt) eingebaut sein.

*edit*
der Gauder wieder!

 

[dmncstmpfl]

oh, sry. Hab ich nicht gsehen, die News.

--> close

 

[hrafnagaldr]

AUßerdem betrifft das nicht nur Firefox sondern alle Browser die Tabs unterstützen, also auch den IE mit entsprechendem Aufsatz.

 

[niz]

Zugunsten der Spoofing-News von gestern Abend:
Meine erste Amtshandlung -> Closed