Neue Sicherheitslücke im Internet Explorer
Peacefire, eine Free-Speech-Site, hat eine schwere Sicherheitslücke im beliebten Browserprogramm Internet Explorer entdeckt.
Demnach kann jede Website alle gespeicherten Cookies eines Benutzers ausspionieren, auch jene, auf die die Site eigentlich keinen Zugriff haben sollte.
Cookie-Paranoia
Damit haben Cookie-Paranoide letzten Endes doch Recht behalten.
Peacefire hat eine Seite ins Netz gestellt, die den Exploit
demonstriert.
DemoIE interpretiert falsch
Der Grund für die Sicherheitslücke liegt darin, dass der Internet Explorer einen mit bestimmten Sonderzeichen versehenen URL falsch interpretiert und, entsprechend manipuliert, einen anderen Absender annimmt.
Aus einem Unterverzeichnis wie "2fshowcookie.html%3F.amazon.com" interpretiert der IE beispielsweise den Absender als Amazon.com; der Javascript-Code kann dann für Amazon.com bestimmte Cookies auslesen.
Passwortschutz in Gefahr
Die Sicherheitslücke zieht schwere Implikationen für passwortgeschützte Websites nach sich, die dem User erlauben, sich per Cookie zu identifizieren. Dazu gehören beispielsweise Amazon und Hotmail.