eBay-Sicherheitslücke seit einem Jahr bekannt und besteht noch immer

Wie heise.de berichtete, erlaubt eine Schwachstelle in eBay Angreifern eine Session mitzuschneiden. Im schlimmsten Fall kann hierdurch ein eBay-Konto übernommen werden. Das Kuriose: Die Sicherheitslücke soll bereits ein Jahr alt und immer noch nicht geschlossen worden sein.

Im eBay-Mitteilungssystem gibt es diese Cross-Site-Scripting-Lücke (XSS), über die Eindringlinge Schadcode ausführen könnten.  Durch eine Cross-Site-Scripting (XSS) Schwachstelle können Betrüger an persönliche Daten des Benutzers kommen, um dann zum Beispiel seine Nutzerkonten zu übernehmen. Das Leck wurde schon vor über einem Jahr vom Sicherheitsforscher Jaanus Kääp aufgespürt. Kääp hat nach eigenen Angaben die Lücke wiederholt bei eBay gemeldet. Doch wie er sagt, habe er nie eine konkrete Information erhalten.

Kääp rollte Anfang vergangener Woche die Begebenheit wieder auf und war äußerst erstaunt, dass die Lücke immer noch besteht. Laut Kääp genüge es, um den Schadcode auszuführen zu können, ein Foto an eine Mitteilung innerhalb des internen eBay-Nachrichtensystems zu hängen und eine GET-Anfrage zu modifizieren [GET-Methode ist die älteste und einfachste Methode im HTTP-Sprachschatz. Sie ist die einzige die in HTTP /0.9 definiert wurde und erlaubt es Daten abzugreifen].

Sogleich sei es dann möglich, dass man die Session beziehungsweise den Cookie des angeschriebenen eBay-Mitgliedes mitschneidet. An dieser Stelle könnte sich der Angreifer Zugang zu dem Konto verschaffen, das Passwort ändern und auf diese Art die Kontrolle übernehmen.

XSS-Lücken sind bei eBay keine Seltenheit wie heise.de schreibt. Ob und wenn wie häufig die beschrieben Schwachstelle aktiv ausgenutzt wird, ist nicht bekannt.