Sicherheitslücke in Google Mail

Eine Schwachstelle in Google Mail ermöglicht es Angreifern eigene Filter im Postfach eines Opfers zu erstellen. So gelingt es beispielsweise, bestimmte empfangene E-Mails des Opfers auf die Adresse des Angreifers umzuleiten. Es gibt mehrere Berichte, dass es unter Ausnutzung der Sicherheitslücke gelungen auch ist, die Kontrolle über die Verwaltung der Domains der Opfer zu erhalten.
Die Sicherheitslücke beruht im wesentlichen auf einer Cross-Site-Request-Forgery-Schwachstelle, bei der mittels einer präparierten Webseite die Filter gesetzt werden. Dazu muss sich das Opfer allerdings angemeldet, ein Browserfenster mit Google-Mail geöffnet haben und in einem weiteren Fenster die manipulierte Webseite aufrufen.

Wurde der Filter gesetzt, reicht es wenn der Angreifer auf den Seiten des Domain-Verwalters das Passwort zurücksetzt. Anschliessend bekommt er dann statt des Opfers per E-Mail das neue Passwort zugesandt. Damit ist er in der Lage die Kontrolle über das Konto und somit über die Domain zu übernehmen.
Eine recht ähnliche Sicherheitslücke, die ebenfalls zum Erstellen von Filtern und Umleiten von E-Mails missbraucht werden konnte, gab es bei Google-Mail schon einmal im Jahr 2007. Man ging bis dato davon aus, dass Google die Sicherheitslücke beseitigt hatte. (24.11.08, Heise)

Siehe auch

Google als MP3-Suchmaschine

Sicherheitslücke in NSlookup.exe

Diese Meldung einem Freund senden