Linkedln behebt Cross-Site-Scripting-Fehler
Linkedln hat vier Cross-Site-Scripting (XSS) Schwachstellen behoben. Die Fehler hätten ausgenutzt werden können, um Anmeldeinformationen von Nutzern zu stehlen.
Durch das Ausnutzen der Schwachstellen hätten Cyberkriminelle Phishing-Mails verschicken können, um Nutzer auf eine Klon-Webseite von Linkedln zu leiten. Dort hätten dann im Wege von keylogging die Daten erspäht werden können. Die Schwachstellen wurden in den Funktionen „shared an update“, „groups you may like“ und „create a group“ gefunden.
In einer typischen XXS-Attacke versendet der Cyberkriminelle einen Link an ahnungslose Nutzer. Wenn der User dem Link folgt, wird das Skript in der Umgebung des Benutzers ausgeführt und der Hacker erhält Zugriff auf Cookies, Session-Tokens oder andere geheime und private Informationen, die beim Browser hinterlegt sind.
Diese Art von Cyberattacke wird oft verwendet, sei es um nur die Webseite zu beeinträchtigen oder um Phishing-Attacken zu starten. Auch WordPress, Skype, Facebook und Twitter sind bereits Opfer solcher XXS-Attacken geworden. Soziale Netzwerke und Content-Management-Webseiten sind beliebte Ziele, weil sich hier Spam- und Phishing-Mails, die nach dem Hacken der Webseite versendet werden, sehr schnell verbreiten.
Die Schwachstellen bei Linkedln wurden das erste Mal im Dezember 2012 von Eduardo Garcia Melia der Firma ISec Partners entdeckt. Linkedln hat die Fehler jetzt behoben.
John Pescatote, Sicherheitsexperte bei SANS, sagt zu dem Vorfall:
„Ich bin der Meinung, dass bei den Mitteilungen über solche Schwachstellen oder Hackerangriffe seitens der Unternehmen auch Fragen wie ‚Warum gab es überhaupt eine Schwachstelle‘ oder ‚ Deshalb wird es nicht mehr passieren‘ beantwortet werden müssen. Wenn ein Fast-Food-Restaurant in die Schlagzeilen gerät, weil Spuren von Ratten in einem Burger gefunden wurden, würde das Restaurant auch die Änderungen bekannt geben, die dazu führen, dass in „Ihrem“ Burger in Zukunft keine Rattenspuren mehr gefunden werden.“
Artikel von infosecurity-magazine.com, 01.10.2013: LinkedIn Shuts Down Four XSS Flaws