IE-Lücke ermöglicht Cookie-Klau

[Christoph]

Eine Schwachstelle im Internet Explorer erlaubt es einem Angreifer beliebige Cookies abzugreifen, die auch Sitzungsdaten enthalten können. Ein Sicherheits-Update, durch das diese Sicherheitslücke geschlossen werden würde, ist noch nicht erhältlich.

Auf den Sicherheitskonferenzen "Swiss Cyber Storm" und "Hack in the Box" (Niederlande) hat der Sicherheitsforscher Rosario Valotta ("Tentacolo Viola") demonstriert, wie er eine Schwachstelle im Internet Explorer (IE) ausnutzt, um Cookies zu stehlen. Die Lücke betrifft alle IE-Versionen. Microsoft hatte zwar im IE 9 die bereits im Januar gemeldete Schwachstelle behoben, doch Valotta hat inzwischen für den IE 9 eine andere, ähnliche Variante ausgeheckt.

Das schon recht betagte Schutzkonzept der Sicherheitszonen im IE scheint nicht für Cookies zu gelten. Wie Valotta heraus gefunden hat, lassen sich die lokal gespeicherten Datenkrümel durchaus in einen IFrame einer Web-Seite laden, die zur Internetzone gehört. Der Angriff ist allerdings alles andere als trivial. Ein Angreifer muss den Benutzernamen heraus finden, mit dem das Opfer auf seinem PC angemeldet ist. Außerdem muss er die Windows-Version ermitteln, damit er den genauen Speicherort der Cookies kennt.

Während sich die Windows-Version aus der vom Browser übermittelten Zeichenkette "userAgent" ergibt, ist für den Benutzernamen mehr Mühe nötig. Valottas Web-Seite lädt ein Bild von einer Netzwerkfreigabe (SMB-Share), wobei sich der PC des Opfers per NTLM beim Server authentifizieren muss. Der Benutzername wird im Klartext übermittelt und kann vom Angreifer mit einem Sniffer wie Wireshark mitgelesen werden.

Schließlich muss der in den IFrame geladene Cookie noch vom Opfer aus dem (nicht als solcher erkennbaren) IFrame in das Hauptfenster gezogen werden. Rosario Valotta hat hierfür ein schlichtes Schiebe-Puzzle eingesetzt, wie sein Demo-Video zeigt. Er nennt seinen Exploit "CookieJacking" und will damit bereits Cookies vieler seiner Facebook-Freunde abgegriffen haben.

Quelle: http://www.pc-magazin.de/news/ie-lue...u-1142308.html