Trotz Zertifikat: Sicherheitslücke bei PayPal entdeckt

Der im Web sehr beliebte Bezahldienst PayPal setzt seit geraumer Zeit auf so genannte Extended-Validation-SSL-Zertifikate, kurz EV-SSL. Diese erhöhen durch eine strenge Prüfung die Sicherheit der Kunden. Doch vor einer jetzt aufgetauchten Cross-Site-Scripting-Lücke schützen sie nicht.

Ein EV-SSL-Zertifikat sorgt dafür, dass moderne Browser wie der Internet Explorer 7 und Firefox 3 eine grün hinterlegte Adresszeile anzeigen. Die Besucher können dann davon ausgehen, dass es sich um die gewünschte Internetseite handelt und nicht um eine Fälschung. Der Finne Harry Sintonen fand jedoch eine Möglichkeit, eigene Inhalte auf der PayPal-Homepage zu platzieren. Der Browser zeigte weiterhin eine gründe Adressleiste an.


Sintonen demonstrierte laut einem Bericht von Netcraft die Lücke in einem IRC-Chat. Beim Besuch von PayPal.com öffnete sich ein Pop-up-Fenster. Angreifer könnten die gleiche Sicherheitslücke nutzen, um beispielsweise gefälschte Login-Dialoge zu erzeugen, die die eingegebenen Daten an einen anderen Server schicken.

PayPal veröffentlichte inzwischen eine Stellungnahme, in der es heißt, dass die Sicherheit der PayPal-Nutzer höchste Priorität hat. Als man von der Sicherheitslücke erfuhr, hat man sich sofort mit der Behebung beschäftigt. Inzwischen sollte das Problem also beseitigt sein. Laut den Verantwortlichen wurde die Lücke zu keinem Zeitpunkt für einen Phishing-Angriff missbraucht.