Web 2.0: Kritische Lücken gefährden User-Daten

Die Security Research Group von Fortify Software, einem Anbieter von Lösungen zur Identifikation und Beseitigung von sicherheitskritischen Software-Schwachstellen, hat eine Sicherheitslücke dokumentiert, die viele AJAX-Anwendungen betrifft. Diese als JavaScript-Hijacking bezeichnete Schwachstelle erlaubt Angreifern den unautorisierten Zugriff auf vertrauliche Daten in JavaScript-Nachrichten durch die Ausnutzung von Zugängen ahnungsloser Anwender.

JavaScript-Hijacking ist ein weit verbreitetes Problem. Fortify hat unter anderem die zwölf meistgenutzten AJAX-Frameworks - darunter die von Google, Microsoft, Yahoo! sowie zahlreiche weitere der Open-Source-Community - analysiert und festgestellt, dass nur Direct Web Remoting (DWR) 2.0 Mechanismen implementiert hat, die JavaScript-Hijacking verhindern. Alle anderen Frameworks bieten keinen expliziten Schutz und weisen auch in ihrer Dokumentation nicht auf die Gefahren hin. Selbst Applikationen, die keines der betroffenen Frameworks nutzen, können angreifbar sein, wenn sie AJAX-Komponenten enthalten, die JavaScript als ein Datentransferformat für sensitive Daten nutzen.

Social Networking Portale im Visier

Die Nutzung der Funktionalität von Web 2.0 hat sich bei Endanwendern bereits etabliert, zum Beispiel über Sites wie das Social-Networking-Portal MySpace. Auch Unternehmen erkennen zunehmend den Wert von interaktiven Webanwendungen und setzen häufig Frameworks ein, um den schnellen Zugriff auf Informationen zu erleichtern, die Leistung von Applikationen zu verbessern, und um Teamfunktionen zu realisieren. Nach einer Umfrage von McKinsey im März 2007 planen vor allem Unternehmen aus den Bereichen Einzelhandel, Hightech, Telekommunikation, Finanzen und Pharmaka, Web-2.0-Technologien einzusetzen.

Applikationen, die die jetzt dokumentierte Schwachstelle aufweisen, bieten für Hacker die Zugriffsmöglichkeit auf sensible Daten dieser Unternehmen. JavaScript-Hijacking erlaubt es einem Angreifer ohne die dazu eigentlich notwendigen Rechte, Web-2.0-Applikationen auszuführen. Sobald ein Angreifer erfolgreich die Rechte eines legitimen Anwenders missbraucht, kann er die oftmals sensitiven Daten auslesen, die per JavaScript zwischen einer Anwendung und dem Browser ausgetauscht werden. Damit stehen ihm die Wege offen, auch ohne die notwendigen Rechte umfangreiche Transaktionen vorzunehmen - beispielsweise Produkte zu kaufen und zu verkaufen, Aktien zu handeln, Sicherheitseinstellungen für das Unternehmensnetzwerk zu verändern oder Finanz-, Kunden- und Inventardaten zu manipulieren.

Web 2.0: Projektverantwortliche sollten sofort reagieren

Alle Frameworks oder Applikationen, die diese Kriterien erfüllen, sind dem Risiko des JavaScript-Hijackings ausgesetzt, so dass die Projektverantwortlichen möglichst umgehend Schutzmaßnahmen gegen die Ausnutzung dieser Schwachstelle ergreifen sollten. Fortify Software empfiehlt dabei einen zweigleisigen Ansatz, der zum einen dafür sorgt, dass Applikationen gefährliche Anfragen ablehnen und gleichzeitig verhindert, dass Angreifer von einer Applikation generiertes JavaScript direkt ausführen können.

Sicherheitsspezialisten wie Jeremiah Grossman haben die Durchführbarkeit von Angriffen über diese neue Schwachstellenklasse bereits verifiziert und in der Praxis nachvollzogen. "Neue Technologien bringen auch immer neue Sicherheitsrisiken mit sich und eröffnen unerwartete Möglichkeiten für Angriffe. Entwickler müssen daher während des Entwicklungsprozesses sorgfältig auf mögliche Schwachstellen achten - insbesondere dann, wenn sie quasi neuen Boden betreten", so Grossman, CTO von WhiteHat Security. "Daher sollten die Verantwortlichen für Web-2.0-Projekte diese Angelegenheit ernst nehmen und möglichst schnell alles dafür tun, ihre Services sicher zu gestalten, bevor es zu erfolgreichen Angriffen kommt." Die komplette Analyse von Fortify Software können Sie online herunterladen. (mha)