Sicherheitslücken durch Tabbed-Browsing

Die Sicherheitsfirma Secunia demonstriert auf ihrer Internetsetseite, wie das Tabbed-Browsing (mehrere Internetseiten in einem Programmfenster darstellen) zur Spionage des Anwenders ausgenutzt werden kann. Betroffen sind alle Browser, die dieses Feature nutzen. Bei der ersten Demonstration öffnet der User die Internetseite der Citibank, durch Klick auf einen Link, in einem neuen Tab. Beim Laden der Seite erscheint ein Dialog, der so aussieht, als stammt er von der Citibank. Alle Zeichen die der Anwender dort eingibt, landen aber auf der Seite von Secunia. Grund: Der Dialog stammt nicht wie angenommen von der Citibank, sondern von Secunia. Dieses Problem kann ausgenutzt werden, um beispielsweise Kontodaten und andere persönliche Informationen auszuspionieren.

Bei der zweiten Demonstration verläuft es ähnlich. Wieder öffnet der User die Seite der Citibank durch Klick auf einen Link in einem neuen Tab. Probiert er etwas in die Formulare auf der Seite der Citibank einzugeben, landen die Eingaben auf der Seite von Secunia. Grund: Ein im Hintergrund aktives Javascript setzt den Fokus ständig auf die Form bei der Ausgangsseite.

Um sich vor dieser Spionagemöglichkeit zu schützen, hilft derzeit nur die Abschaltung von JavaScript. Jedoch werden dann viele Internetseiten nicht mehr korrekt funktionieren. Opera versprach, dass Problem mit der kommenden Version 7.60 zu beseitigen. Auf einen Fix von der Mozilla Foundation muss man gewöhnlich auch nicht sehr lange warten.

Quelle: heise.de