130518

Sicherheitslücke in Google Spreadsheet entdeckt

14.04.2008 | 15:58 Uhr |

In Googles Online-Tabellenkalkulation (Google Spreadsheets) hat ein Sicherheitsexperte eine Schwachstelle entdeckt, durch die Angreifer die Cookies einer Benutzers von Google Spreadsheets auslesen können. Damit ist es möglich, auf alle Google-Accounts des Opfers zuzugreifen und beispielsweise dessen Mails zu lesen. Google hat die Lücke aber mittlerweile beseitigt.

Um einige der zahlreichen kostenlosen Google-Dienste wie Googlemail, Kalender oder Google Texte und Tabellen nutzen zu können, muss sich dafür mit seinem Google-Konto anmelden. Dabei setzt der Google-Server ein Cookie auf dem PC des Anwenders. Dieses Cookie ermöglicht dann den Zugriff auf alle unter diesem Google-Account abgelegten Dienste. Und genau da liegt der Hund begraben.

Der Sicherheitsexperte Billy Rios hat nämlich herausgefunden , dass ein Angreifer mit einer manipulierten Tabelle in Google Spreadsheets (der Tabellenverwaltung von Google Text und Tabellen) auf alle Cookies des Benutzers zugreifen kann. Danach stehen dem Hacker alle registrierten Google-Dienste des Anwenders offen.

Das Problem liegt an der Art und Weise, wie der Browser den Content-Typ der http-Serverantwort ermittelt und behandelt. Die Browser würden unter bestimmten Umständen die mitgelieferten Content-Type-Header-Informationen ignorieren und stattdessen versuchen, selbst die Art des vom Server gelieferten Contents zu bestimmen. HTML oder - noch schlimmer - Javascript, das in einer CSV-Datei eingefügt ist, wird vom Browser dann auch tatsächlich ausgeführt.

Für Panik besteht allerdings kein Grund: Google hat die Sicherheitslücke umgehend beseitigt. In Google Spreadsheets eingefügtes Javascript wird jetzt nicht mehr als HTML gerendert, sondern als harmloser Text angezeigt.

0 Kommentare zu diesem Artikel
130518