Edge und Safari: Adressleiste reagiert nicht auf Spoofing-Angriffe

Windows 10, Sicherheit, Browser, Edge, Microsoft Edge Bildquelle: Microsoft
Bei den bisherigen Versionen der Browser Edge und Safari konnten Betrüger den Nutzern Inhalte von anderen Servern unterschieben, ohne dass dies anhand einer Veränderung in der Adresszeile erkennbar geworden wäre. Das Problem kann so beispielsweise missbraucht werden, um Login-Daten zu stehlen. Ein Angriff auf Grundlage der Schwachstelle würde so funktionieren, dass ein Angreifer an einem bestimmten Punkt in den Ladevorgang einer Webseite eingreift und einfach anderen Code heranzieht. Da sich der Inhalt in der Adresszeile dabei nicht ändert, wäre dies für den User kaum zu erkennen. Denkbar wäre ein solches Vorgehen beispielsweise, indem Login-Formulare verbreiteter Dienste nachgebildet werden, bei denen es recht wahrscheinlich ist, dass der User auf diese zugreift. Edge: URL-SpoofingSieht richtig aus, ist aber eine gefälsche Seite. Das Kernproblem für den Angreifer besteht darin, an den Lade-Prozess heranzukommen. Das ist auf mehreren Wegen denkbar - etwa durch einen Zugriff auf den Webserver, einen Man-in-the-Middle-Zugang zu einer unverschlüsselten Übertragung oder auch über ein manipuliertes Browser-Plugin.



Microsoft hat schon einen Patch

Der Sicherheitsforscher Rafay Baloch, der das Problem entdeckte, kann nicht abschließend erklären, warum ein solcher Angriff in Edge und Safari möglich ist, in Chrome und Firefox hingegen nicht. Er vermutet den Auslöser aber an der Stelle, an der eine Aktualisierung der Adresszeile angestoßen wird. Es kann sein, dass die anderen Browser hier schlicht früher auf neue Ereignisse beim Rendering reagieren.

Baloch hatte Microsoft und Apple am 2. Juni über seine Erkenntnisse informiert und machte sie nun auch für die Allgemeinheit zugänglich. Microsoft hat am letzten Patch-Day auch eine Fehlerkorrektur für seinen Browser bereitgestellt. Apple hingegen lässt seine Nutzer noch warten. Der Sicherheitsforscher will daher den Code, mit dem er seine Test-Attacken durchführte, vorerst noch unter Verschluss halten.

Siehe auch: Microsoft erweitert das Bug Bounty Programm für den Webbrowser Edge Windows 10, Sicherheit, Browser, Edge, Microsoft Edge Windows 10, Sicherheit, Browser, Edge, Microsoft Edge Microsoft
Diese Nachricht empfehlen
Kommentieren9
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!
Einloggen

Apples Aktienkurs in Euro

Apple Aktienkurs -1 Jahr
Zeitraum: 1 Jahr

Jetzt als Amazon Blitzangebot

Ab 16:55 Uhr Heavy MetalHeavy Metal
Original Amazon-Preis
7,96
Im Preisvergleich ab
5,99
Blitzangebot-Preis
5,97
Ersparnis zu Amazon 25% oder 1,99

Tipp einsenden