Durch Fehler in Webserver-Software lassen sich JavaScript-Filter oder das Sicherheitszonenmodell im Internet Explorer umgehen. Der Klick auf einen entsprechend präparierten Link auf einer beliebigen Webseite kann über den Umweg einer vertrauenswürdigen Site zum Start von JavaScript-Code führen.
Einige Webserver geben beim Aufruf nicht vorhandener Seiten in ihrer Fehlermeldung die angeforderte URL Zeichen für Zeichen wieder. Solches Fehlverhalten ist in der Sicherheitsmailingliste Bugtraq für den Internet Information Server (IIS) und WebSite Pro dokumentiert worden. Georgi Guninski fiel auf, dass hierdurch ein Risiko für Surfer entsteht: Befinden sich in der URL JavaScript-Befehle, so werden diese in der Rückantwort bewertet, als ob sie von dem Host stammen, der die Fehlermeldung gibt. Damit kann ein Angreifer einer vertrauenswürdigen Site Code unterschieben, wenn diese derart ‘gesprächige’ Serversoftware einsetzt.
Diese Angriffsmöglichkeit beschränkt sich nicht auf bestimmte Browser. Wer vor den ständig auftauchenden Sicherheitslücken aktiver Inhalte sicher sein will, muss also derzeit wohl oder übel JavaScript & Co. vollständig abschalten. (nl)
Version zum Drucken | Per E-Mail versenden | Heft bestellen
Permalink: http://heise.de/-287490
Das aktuelle Heft ist jetzt im Handel erhältlich.
Ältere Artikel können Sie über unser Zeitschriften-Archiv bestellen.