Sicherheitsleck bei YouTube ermöglichte XSS-Angriffe

Eine Sicherheitslücke ermöglichte am Wochenende Angriffe auf das Kommentarsystem der Videoplattform YouTube. Sie konnte inzwischen geschlossen werden. Zwei Stunden musste YouTube die Kommentare komplett abschalten. So lange dauerte es, bis ein Patch entwickelt und eingespielt werden konnte. "Wir führen die Untersuchung des Problems fort um solche Vorfälle für die Zukunft zu unterbinden", hieß es in der Stellungnahme eines YouTube-Sprechers.

Der Fehler ermöglichte es Nutzern der Seite, so genannte Cross-Site Scripting (XSS)-Angriffe zu starten. Eine unzureichende Prüfung und Filterung von Eingaben in Formularfeldern kann dabei ausgenutzt werden, um fremden Code in eine Web-Applikation einzuschleusen.

Nach dem bisherigen Stand der Untersuchungen wurde die Sicherheitslücke lediglich ausgenutzt, um Schabernack zu treiben. Dies ging hauptsächlich von den Nutzern des Forums 4Chan aus. Die Community ist bekannt dafür, mit Massenaktionen für Chaos sorgen zu können.

Diesmal lag die Konzentration auf Videos des Musikers Justin Bieber. Über die XSS-Lücke wurden hier Codes in die Kommentare eingeschleust, die Nutzern Pop-ups mit Schmähungen gegen den Sänger anzeigten und sie automatisch zu verschiedenen Porno-Seiten weiterleiteten.