Ernsthafte Sicherheitslücke auf der Webseite von PayPal entdeckt

Auf der Internetseite von PayPal wurde ein kritischer Script-Fehler entdeckt, der es Angreifern vermutlich erlaubt, überzeugende Phishing-Seiten zu erstellen. Mit Hilfe deren könnten die Authentifizierungs-Daten der Nutzer gestohlen werden. Der standortübergreifende Script-Bug ist besonders fatal, weil er sich auf einer Seite befindet, die eine erweiterte Gültigkeitsprüfung mittels SSL-Zertifikat verwendet. Der moderne SSL-Mechanismus wurde entwickelt, um Usern zu zeigen, dass sie eine vertrauenswürdige Seite besuchen. Die Adresszeile in einigen Browsern ist bei solchen Seiten besonders gekennzeichnet. Der finnische Wissenschaftler Harry Sintonen soll aber einen Weg gefunden haben, seinen eigenen Code in eine angeblich geschützte PayPayl-Seite einzuspeisen. Die Browseranzeige des Kunden vermittelte weiterhin, dass keine Manipulation stattgefunden hat.

Sintonens Code startete im Internet Explorer lediglich ein Warnfenster mit der Frage: „Ist this safe?“, zu deutsch „Ist das sicher?“. Während eines Online-Interviews konnte Sintonen laut Channnel Register eine Seite zeigen, die den Anwender auffordert seine Zugangsdaten einzugeben und diese dann an einen nicht-vertrauenswürdigen Server weiterleitet. Außerdem sagte er, dass es vermutlich auch möglich sei, Cookies zu stehlen. Während der ganzen Zeit war die Adresszeile im Browser nach wie vor grün. PayPal zufolge habe die Schließung der Sicherheitslücke absolute Priorität. Das Unternehmen habe sofort nach dem Bekanntwerden des Problems damit begonnen, eine Lösung zu erarbeiten. Bisher wurde der Bug angeblich noch nicht für Phishing-Attacken genutzt. (cat/jdo)