Schwerwiegende Sicherheitslücke bei ClickandBuy Update

Mit unserem Proof-of-Concept konnten wir den Cookie eines einloggten Testnutzers stehlen. Ein Leser von heise Security hat auf der Webseite des Zahlungsabwicklers ClickandBuy eine schwerwiegende Sicherheitslücke entdeckt, die den Diebstahl von Zugangsdaten ermöglicht hat. Bei der Schwachstelle handelt es sich um eine Cross-Site-Scripting-Lücke, durch die ein Angreifer wegen der unzureichenden Überprüfung von Parametern eigenen Code in die ClickandBuy-Seite einschleusen könnte.

Dabei ist es heise Security unter anderem gelungen, das Cookie eines eingeloggten Testnutzers an einen fremden Server zu übermitteln, nachdem der Nutzer einen speziell präparierten Link auf die Seite des Zahlungsabwicklers angeklickt hatte.

Der Leser hatte das Unternehmen bereits Anfang Juli über das Problem informiert, aber keine Antwort erhalten. heise Security nahm daraufhin wiederholt sowohl mit der Pressestelle als auch dem Kundendienst Kontakt auf. Es dauerte über eine Woche, bis sich schließlich eine Sprecherin der Telekom-Tochterfirma meldete und das Problem bestätigte. Sie äußerte "tiefstes Bedauern" darüber, dass unsere Mail so lange unbeantwortet blieb.

Das Unternehmen erklärte gegenüber heise Security, dass die lange Reaktionszeit auf einen "Fehler in der internen Zuordnung" zurückzuführen ist, der jetzt beseitigt sei. ClickandBuy setzt bei der Sicherheit seiner Systeme unter anderem auf den Dienst McAfee Secure, der die Seite täglich auf Schwachstellen abklopfen soll. Allerdings wurde die verwundbare Seite dabei aufgrund eines Konfigurationsfehlers stets ausgelassen. Hinweise darauf, dass die Lücke für echte Angriffe ausgenutzt wurde, gibt es laut ClickandBuy nicht.

Update vom 25.07.2012: ClickandBuy hat die Lücke am gestrigen Dienstagnachmittag geschlossen. (rei)