Lücke im Internet Explorer ermöglicht Cookie-Klau

Rosario Valotta hat eine Sicherheitslücke im Internet Explorer entdeckt, über die sich die Cookies eines Anwenders klauen lassen. Damit könnte sich der Angreifer dann beispielsweise unerlaubterweise bei diversen Web-Diensten einloggen, die sein Opfer nutzt. Eigentlich sorgen die Sicherheitszonen des Browsers aus dem Hause Microsoft dafür, dass sich Inhalte aus der lokalen Zone, also beispielsweise Cookies, die auf der Festplatte abgelegt sind, nicht in Websites einbetten lassen, die der Internetzone zugeordnet werden. Ausgerechnet bei Cookies scheint das dennoch zu funktionieren. Sie lassen sich problemlos in ein iFrame einbetten. Damit der Angreifer sie zu Gesicht bekommt, müssen die Cookies per Drag & Drop auf die eigentliche Website gezogen werden, die den iFrame umgibt.


Gegenüber der Nachrichtenagentur 'Reuters' erklärte der italienische Sicherheitsforscher, dass sich mit Hilfe des so genannten Cookiejackings die Zugangsdaten für beliebige Websites herausfinden lassen, die vom Opfer genutzt werden, beispielsweise Facebook und Twitter. Mit seiner Methode soll sich jeder Cookie von jeder Website stehlen lassen. Sämtliche Versionen des Internet Explorers sind betroffen, auch die aktuelle Ausgabe 9. Welche Windows-Version eingesetzt wird, spielt keine Rolle.

Zunächst muss jedoch die Hürde überwunden werden, das Opfer zu überreden, ein Objekt per Drag & Drop auf einer Website zu verschieben. Valotta hat dafür ein kleines Puzzle-Spiel entwickelt. Er verspricht seinen Opfern, dass sich die abgebildete Frau entkleidet, wenn das Puzzle zusammengesetzt ist. Einfach und effektiv. Er veröffentlichte das Spiel bei Facebook und bekam innerhalb von 3 Tagen rund 80 Cookies seiner 150 Freunde.

Ein weiteres Hindernis stellt der Pfad der Cookies dar, für den der Angreifer den Windows-Nutzernamen seines Opfers kennen muss. Um diesen zu bekommen, muss lediglich ein Bild in die Website eingebettet werden, das auf einer SMB-Netzwerkfreigabe liegt. Bei der Authentifizierung sendet Windows den Benutzernamen im Klartext, so dass dieser umgehend im Besitz des Angreifers ist. Dazu muss beispielsweise mit einem Sniffer gelauscht werden.

Wie ein Angriff aussehen kann, demonstriert der Italiener in einem Video. Microsoft erklärte in einer Stellungnahme, dass man kaum die Gefahr sieht, dass ein Angreifer mit der Methode Erfolg haben wird. Da das Opfer spezielle Aufgaben erfüllen muss, stuft Microsoft das Problem als nicht besonders kritisch ein. Ob die Redmonder dennoch einen Patch entwickeln werden, ist nicht bekannt. Als Valotta das Problem im Januar 2011 das erste Mal meldete, stopfte Microsoft die Lücke in der finalen Ausgabe des Internet Explorer 9. Allerdings konnte der Sicherheitsforscher eine leicht abgewandelte Methode finden, um an die Cookies zu gelangen. Cookies, Cookie, Pacman snackordie