Anzeige

Cyber Security

Mit bestimmten Tricks lässt sich bei großen Webseiten dank einer gefährlichen Sicherheitslücke die Kontrolle über einzelne Subdomains übernehmen.

Gelingt das, so Forscher der Technischen Universität Wien und der Ca' Foscari Universität, eröffnen sich neue Sicherheitslücken, die auch Personen in Gefahr bringen, die einfach nur die eigentliche Webseite verwenden wollen.

Risiko Sicherheitsirrtum

Das Team hat analysiert, welche Attacken dank der Lücke möglich werden und wie verbreitet das Problem ist: 50.000 der weltweit wichtigsten Webseiten wurden untersucht, 1.520 vulnerable Subdomains konnten dabei entdeckt werden. "Auf den ersten Blick könnte man meinen, das Problem sei wohl nicht so schlimm. Schließlich könnte man glauben, dass man sich zu einer Subdomain nur dann Zugang verschaffen kann, wenn man Administrationsrechte für die Webseite erhalten hat, aber das ist ein Irrtum", sagt TU-Wien-Forscher Marco Squarcina.

Oft verweise eine Subdomain nämlich auf eine andere Webseite, die physisch auf ganz anderen Servern gespeichert ist. "Vielleicht besitzt man die Webseite example.com und möchte einen Blog hinzufügen. Den will man aber nicht neu aufbauen, sondern stattdessen eine bereits bestehende Blog-Struktur einer anderen Webseite nutzen. Daher wird eine Subdomain, etwa blog.example.com, mit einer anderen Seite verknüpft." Werde die Seite example.com nun genutzt und dort zum Blog weitergeklickt, so werde der User nichts Verdächtiges bemerken. "In der Adressleiste des Browsers steht die korrekte Subdomain blog.example.com, die Daten kommen nun aber von einer völlig anderen Seite", so Squarcina.

Lose Enden dienen Hack

Doch die Forscher fragten sich, was passiert, wenn die Verknüpfung eines Tages nicht mehr gültig ist. Vielleicht wird der Blog aufgelöst oder anderswo neu aufgebaut. Dann verweist die Verknüpfung von blog.example.com auf eine fremde Seite, die es nicht mehr gibt. In diesem Fall spricht man von "Dangling Records" - lose Enden im Netz der Webseite, die ideale Angriffspunkte für Attacken sind. "Wenn solche Dangling Records nicht rasch beseitigt werden, dann kann jemand dort seine eigene Webseite anlegen, die dann unter sub.example.com angezeigt wird", ergänzt Mauro Tempesta, ebenfalls von der TU Wien. "Was immer man mit dieser Seite macht, wird dann auf sub.example.com angezeigt."

Den Experten nach ist dies deshalb ein Problem, weil Webseiten unterschiedliche Sicherheitsregeln für unterschiedliche Bereiche des Internets anwenden. Die eigenen Subdomains würden normalerweise als "sicher" eingestuft - auch wenn sie in Wahrheit von außerhalb kontrolliert werden. So könne man etwa über die Subdomain auf Cookies zugreifen, die von der Hauptseite bei Usern platziert wurden - im schlimmsten Fall könnte ein Eindringling vorgeben, ein anderer Nutzer zu sein und in dessen Namen illegale Aktionen ausführen.

www.pressetext.com


Artikel zu diesem Thema

BYOD
Jun 24, 2021

BYOD-Sicherheitslücken weiterhin allgegenwärtig

Der aktuelle BYOD Security Report von Cloud-Security-Anbieter Bitglass zeigt, dass…

Weitere Artikel

Netflix

Netflix will in Games-Markt einsteigen

Streaming-Gigant Netflix will in den boomenden Markt für Videospiele einsteigen.
Fussball

Fußball-EM: Bot-Attacken auf Sportwetten- und Glücksspielseiten um 96 % gestiegen

Imperva, ein Unternehmen im Bereich Cybersecurity, mit dem Ziel, Daten und alle Zugriffswege auf diese zu schützen, verzeichnete in ganz Europa vor und während der Fußball-Europameisterschaft 2020 einen signifikanten Anstieg des Bot-Traffics auf Sportwetten-…
Streaming

Sportsendungen: Streaming schlägt Pay-TV

Sportsendungen im Pay-TV verlieren an Zuschauern. Die Streaming-Dienste boomen dagegen, wie die Umfrage "Sports Video Trends 2021" im Auftrag des Londoner Videoproduzenten Grabyo zeigt.
Cell Broadcast

Bitkom zur Debatte um Cell-Broadcast

Nach der Hochwasser-Katastrophe in Rheinland-Pfalz und Nordrhein-Westfalen wird in Deutschland die Einführung von Cell-Broadcast für den Versand von Warnnachrichten diskutiert.
Online-Shopping

Olympische Spiele – ein E-Commerce-Killer?

Wenn am Freitag der Fackellauf das Stadion in Tokio erreicht, ist es so weit: Die 32. Olympischen Sommerspiele der Neuzeit sind eröffnet und das Motto lautet erneut: „Dabei sein ist alles.“
Bargeldlos Bezahlen

Mehr Zahlungen ohne Bargeld im Euroraum

Der Trend zum Bezahlen ohne Scheine und Münzen hat in der Corona-Krise in Deutschland und im Euroraum einen weiteren Schub erhalten. Im vergangenen Jahr wurden fast 102 Milliarden Zahlungen (Vorjahr: 98 Mrd) im gemeinsamen Währungsraum bargeldlos abgewickelt,…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.