Schwachstelle bei meingutscheincode.de beseitigt

Auch bei meingutscheincode.de wurde vor wenigen Tagen eine XSS Schwachstelle aufgedeckt und gemeldet. Die Betreiber haben sehr schnell auf den Hinweis reagiert, bereits kurze Zeit später einen Fix vorgenommen und dadurch die Schwachstelle beseitigt. Man hat sich für den gutmütigen Hinweis bedankt und mitgeteilt, dass man auch selbst noch einmal ähnliche Stellen prüfen und gegebenfalls absichern werde. So ist das doch wunderbar. ...

Durch manipulierte Parameter hätte ein Angreifer gezielte Phishing-Attacken durchführen und unter Umständen auch die Kontrolle über den Computer eines Besuchers erreichen können (vorausgesetzt der Browser, ein Add-On oder andere Komponeten wären für diese Art eines Angriffs verwundbar). Möglich macht dies ein Problem bei der Übergabe diverser Parameter an die Webanwendung. Diese werden nicht ausreichend gefiltert, was einen Eingriff bzw. die Manipulation der Ausgabe ermöglicht. Externe Dateien können bei einer solchen, manipulierten Website direkt in diese bzw. die Ausgabe eingeschleust werden. Setzt ein Angreifer einen präparierten Link, zu einer manipulierten Seite und ein User ruft die entsprechende URL auf, so wird der Benutzer auf die manipulierte Website geleitet. Meist bekommen die "Opfer" von dem Ganzen nichts mit, da durch diverse Methoden zur Verschleierung, die Auffälligkeiten der URL versteckt werden können. Der Benutzer erkennt also lediglich, dass er sich auf der jeweilig vertrauenswürdigen Domain befindet und schöpft daher keinen Verdacht.

Im Prinzip sind einem derartigen Angriff - bezüglich der Kreativität - keine Grenzen gesetzt. Schnell lässt sich ein präpariertes Formular für Benutzerdaten, ein Gewinnspiel oder auch eine sogenannte XSS-Shell in die Website einschleusen. Der Angreifer kann mit dieser Methode so gut wie unentdeckt auf die Jagd gehen.

Speziell für meingutscheincode.de sind allerdings keinerlei Übergriffe bekannt. Man hat sich der Sache auch sehr schnell angenommen, die Problematik erkannt und das Sicherheitsproblem beseitigt. Es gab recht schnell ein positives Feedback und man hat sich für den Hinweis und meine Aufwände auch sehr nett bei mir bedankt. An dieser Stelle ein persönliches Lob an die "Technische Leitung" für die schnelle Reaktion und vorbildliche Vorgangsweise. Sowas erlebt man leider viel zu selten.

Ich freue mich, dass auch in diesem Fall die Hilfe angekommen ist und die Sicherheit der User, sowie die Qualität des Portals, noch ein wenig besser geworden sind. :)