CSS-Schwachstellen hebeln Sicherheit großer Webmail-Dienste aus

Ein Forscher hat auf der Black Hat USA 2026 gezeigt, wie sich allein über CSS-Anweisungen in E-Mails die Sicherheitsgrenzen von Webmail-Oberflächen durchbrechen lassen.

Grundlage der am 6. August vorgestellten Forschungsarbeit von PortSwigger-Forscher Gareth Heyes ist, dass Webmail-Anbieter zwar HTML- und CSS-Formatierungen in eingehenden E-Mails zulassen, dabei aber davon ausgehen, dass diese Formatierung die eigentliche, vertrauenswürdige Bedienoberfläche nicht erreichen kann. Heyes zeigt, wie sich diese Grenze auf zwei Wegen umgehen lässt: durch den gezielten Missbrauch ohnehin erlaubter CSS-Funktionen oder durch eine Diskrepanz zwischen dem, was ein Sanitizer als sicher einstuft, und dem, was Browser oder Anwendung am Ende tatsächlich daraus erzeugen.

Bei Outlook kombinierte Heyes mehrere solcher Schwächen zu einer vollständigen Angriffskette: Zugelassene Label-Elemente konnten Bedienelemente außerhalb der eigentlichen Nachricht auslösen, während anwendungsseitiges JavaScript sanitierte, benutzerdefinierte Attribute in neue DOM-Elemente mit CSS außerhalb der eigentlich erlaubten Liste umwandelte. Über einen Trick bei der Verarbeitung von Media Queries erhielt der Angreifer dadurch praktisch beliebige CSS-Kontrolle. Im demonstrierten Szenario tarnte die Angriffskette ein Auswahlmenü als Passwortfeld und nutzte aus, dass Firefox seinen rund einsekündigen Auswahl-Timer zurücksetzt, sobald das Element aus dem sichtbaren Bereich bewegt wird, wodurch sich einzelne Tastatureingaben in Echtzeit erfassen ließen.

Auch KI-gestützte E-Mail-Verarbeitung von Webmail-Diensten betroffen

Bei Yahoo Mail und AOL Mail fanden die Forscher einen anderen Angriffsweg: In Firefox blieb eingefügtes HTML kurzzeitig aktiv, bevor es bereinigt wurde. In einem demonstrierten Szenario musste ein Opfer lediglich vom Angreifer bereitgestelltes CSS kopieren und in einen Yahoo- oder AOL-Nachrichtenentwurf einfügen, woraufhin die dabei ausgelösten Anfragen einem Angreifer genügend Informationen lieferten, um ein 12-stelliges Anmelde-Token für den Dienst Medium zu rekonstruieren und sich damit als das Opfer anzumelden. Zusätzlich stellten die Forscher eine klickbasierte Methode zur Datenexfiltration vor, mit der sich selbst bei aktivierter Content Security Policy einzelne Ziffern eines im Nachrichtentext angezeigten Tokens über gezielt eingeblendete oder verborgene Links ermitteln lassen.

Auch KI-gestützte Werkzeuge zur E-Mail-Verarbeitung gerieten ins Visier: Über eine CSS-bedingte Schwachstelle in Gmail koppelten Heyes und sein PortSwigger-Kollege Pete Hendy eine versteckte Prompt-Injection an eine E-Mail, die anschließend von Anthropics Cowork über einen verbundenen Gmail-Connector verarbeitet wurde. Nachdem ein Angreifer zunächst eine Slack-Token-Bestätigungsmail auslöste und das Opfer Cowork bat, die E-Mails zu verarbeiten, veranlassten die eingeschleusten Anweisungen das System dazu, das Token abzurufen und in einen HTML-Entwurf einzufügen, dessen bloßes Betrachten das Token offenlegte. Eine ähnliche Demonstration mit Fastmail richtete sich gegen OpenAIs KI-Browser Atlas, bei der über CSS-Pseudo-Elemente und Transparenz für Menschen unsichtbarer, aber für das Modell lesbarer Text eingeschleust wurde. Atlas wird nach Angaben von OpenAI ohnehin zum 9. August eingestellt.

Teilweise bereits behoben, andere Lücken weiterhin aktiv

Nach Angaben von Heyes hat Fastmail zwei gemeldete CSS-Mutationsfehler bereits behoben, auch ein zuvor funktionierender Proxy-Bypass bei Proton Mail funktionierte bei einem erneuten Test nicht mehr. Das Label-Jacking bei Outlook sowie der Bypass über die CSS-Funktion image-set() bei Gmail funktionierten dagegen zum Zeitpunkt der Veröffentlichung am 6. August weiterhin, unklar bleibt zudem, ob die vollständige Outlook-Angriffskette zur Passwort-Erfassung inzwischen geschlossen wurde.

Als Gegenmaßnahmen empfiehlt Heyes Webmail-Anbietern, HTML-E-Mails konsequent in isolierten iFrames darzustellen, CSS nur nach strikten Zeichen-Positivlisten zuzulassen, benutzerdefinierte Attribute vor Freigabe gezielt auf bekannte CSS-Angriffsmuster zu prüfen sowie Bildanfragen und Domains konsequent auf zugelassene Listen zu beschränken. Der zugehörige Quellcode der Machbarkeitsnachweise ist öffentlich verfügbar.

(red)