Edge und Safari: Adressleiste reagiert nicht auf Spoofing-Angriffe

Bei den bisherigen Versionen der Browser Edge und Safari konnten Betrüger den Nutzern Inhalte von anderen Servern unterschieben, ohne dass dies anhand einer Veränderung in der Adresszeile erkennbar geworden wäre. Das Problem kann so beispielsweise missbraucht werden, um Login-Daten zu stehlen. Ein Angriff auf Grundlage der Schwachstelle würde so funktionieren, dass ein Angreifer an einem bestimmten Punkt in den Ladevorgang einer Webseite eingreift und einfach anderen Code heranzieht. Da sich der Inhalt in der Adresszeile dabei nicht ändert, wäre dies für den User kaum zu erkennen. Denkbar wäre ein solches Vorgehen beispielsweise, indem Login-Formulare verbreiteter Dienste nachgebildet werden, bei denen es recht wahrscheinlich ist, dass der User auf diese zugreift. Sieht richtig aus, ist aber eine gefälsche Seite. Das Kernproblem für den Angreifer besteht darin, an den Lade-Prozess heranzukommen. Das ist auf mehreren Wegen denkbar - etwa durch einen Zugriff auf den Webserver, einen Man-in-the-Middle-Zugang zu einer unverschlüsselten Übertragung oder auch über ein manipuliertes Browser-Plugin.

Auf YouTube ansehen

Microsoft hat schon einen Patch

Der Sicherheitsforscher Rafay Baloch, der das Problem entdeckte, kann nicht abschließend erklären, warum ein solcher Angriff in Edge und Safari möglich ist, in Chrome und Firefox hingegen nicht. Er vermutet den Auslöser aber an der Stelle, an der eine Aktualisierung der Adresszeile angestoßen wird. Es kann sein, dass die anderen Browser hier schlicht früher auf neue Ereignisse beim Rendering reagieren.

Baloch hatte Microsoft und Apple am 2. Juni über seine Erkenntnisse informiert und machte sie nun auch für die Allgemeinheit zugänglich. Microsoft hat am letzten Patch-Day auch eine Fehlerkorrektur für seinen Browser bereitgestellt. Apple hingegen lässt seine Nutzer noch warten. Der Sicherheitsforscher will daher den Code, mit dem er seine Test-Attacken durchführte, vorerst noch unter Verschluss halten.

Siehe auch: Microsoft erweitert das Bug Bounty Programm für den Webbrowser Edge