{"id":193859,"date":"2017-09-08T00:12:00","date_gmt":"2017-09-07T22:12:00","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=193859"},"modified":"2017-09-07T21:16:12","modified_gmt":"2017-09-07T19:16:12","slug":"apple-und-google-fixen-browser-bug-microsoft-patzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/09\/08\/apple-und-google-fixen-browser-bug-microsoft-patzt\/","title":{"rendered":"Apple und Google fixen Browser-Bug, Microsoft patzt"},"content":{"rendered":"

Im Microsoft Edge-Browser gibt es eine Sicherheitsl\u00fccke, die von Sicherheitsforschern aufgedeckt wurde. W\u00e4hrend Apple und Google eine \u00e4hnliche Schwachstelle gepatcht haben, will Microsoft kein Update anbieten \u2013 das sei 'by design'. <\/p>\n

<\/p>\n

\"\"Die (Cross-Site-Scripting-) Sicherheitsl\u00fccke im Microsoft Edge-Browser wurde von Talos-Sicherheitsforschern entdeckt und in diesem Beitrag beschrieben<\/a>. In Microsoft Edge 40.15063.0.0 k\u00f6nnen die Content Security Policies (CSP) durch eine entsprechend gestaltete Webseite umgangen werden. <\/p>\n

Content Security Policies (CSP) <\/h2>\n

Diese Content Security Policies (CSP) sollen eigentlich verhindern, dass Informationen \u00fcber andere im Browser ge\u00f6ffnete Seiten abgerufen werden k\u00f6nnen. So will man nicht, dass ein Script in einer geladenen Webseite auf Tasteneingaben, Cookies oder andere Informationen zugreifen kann, die sich auf eine andere Webseite des Browsers gelten. Man denke nur an einen Browser, wo in einem Tab ein Online-Konto (Mail, Banking etc.) ge\u00f6ffnet wurde und ein b\u00f6sartiges Script in einem anderen Tab die Zugangsdaten abfragt. <\/p>\n

CSP lassen sich in Edge umgehen<\/h2>\n

Bei Microsoft Edge gibt es aber ein Problem. Ein Angreifer kann nun durch Umgehen der CSP \u00fcber eine b\u00f6sartige Webseite auf solche Informationen zugreifen. Dazu muss lediglich ein neues Dokument mittels der JavaScript-Funktion: <\/p>\n

window.open (\"\",\"_blank\") <\/p>\n

geladen werden. Schreibt ein Angreifer mit document.write<\/em> sch\u00e4dlichen Code in das Dokument, bevor dieses geladen wird, lassen sich die CSP-Einschr\u00e4nkungen, die f\u00fcr das Dokument gelten, in dem der Javascript-Code ausgef\u00fchrt wird, umgehen. Das Script kann pl\u00f6tzlich auf andere Browserseiten zugreifen. Eigentlich sollte die CPS dieses Cross-Site-Scripting verhindern. <\/p>\n

Tests von Talos zeigten, dass der Firefox-Browser von der L\u00fccke nicht betroffenen ist. Im Safari-Browser von Apple gab es eine \u00e4hnliche L\u00fccke (CVE-2017-2419). Auch Google Chrome war von der L\u00fccke (CVE-2017-5033) betroffen. Beide Firmen haben aber diese Schwachstelle durch Updates geschlossen (Google Chrome 57.0.2987.98, iOS 10.3, Safari 10.1). <\/p>\n

Der Fehler wurde im November 2016 gefunden und an Microsoft gemeldet. Er wird mit einem CVSS-Sicherheitsindex von 4,3 auf einer bis 10 reichenden Skala bewertet. Laut Bleeping Computer<\/a> lehnt Microsoft es aber ab, diesen Bug zu fixen. <\/p>\n","protected":false},"excerpt":{"rendered":"

Im Microsoft Edge-Browser gibt es eine Sicherheitsl\u00fccke, die von Sicherheitsforschern aufgedeckt wurde. W\u00e4hrend Apple und Google eine \u00e4hnliche Schwachstelle gepatcht haben, will Microsoft kein Update anbieten \u2013 das sei 'by design'.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4461],"tags":[414,4328],"class_list":["post-193859","post","type-post","status-publish","format-standard","hentry","category-edge","tag-browser","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/193859","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=193859"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/193859\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=193859"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=193859"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=193859"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}