Schwere Lücke in Googles Webmailer

Laut Sicherheits-Guru Petko Petkov wiegt das Sicherheitsleck in Google Mail besonders schwer, da vom Gmail beziehungsweise Googlemail-User nur wenig zu tun ist, um in die Falle zu tappen. Er muss lediglich dort eingeloggt sein und zugleich mit demselben Browser – etwa als weiterer Tab in Firefox – eine speziell präparierte Seite öffnen. Beim Aufruf der Webseite wird dann ein so genanntes multipart/form-data POST ausgeführt, das einen Gmail-Filter in die Filtersammlung des Opfers einfügt. Wer sich bereits ein wenig mit den Gmail-Filtern beschäftigt hat, weiß, dass dies einem Super-GAU gleichkommt: Von Weiterleitungen aller Mails an die Adresse der Angreifer bis hin zum Löschen von Nachrichten ist je nach Filtertyp alles möglich.

Wie bereits bei früheren Lecks gibt Petkov nicht genau an, wie das Leck funktioniert, um keine Trittbrettfahrer anzulocken (siehe auch unsere News »Vorsicht vor PDF-Dateien«). Im Blog www.gnucitizen.org informiert er nur über die Lücke.

Der Trick soll mit allen Browsern funktionieren. Wer bereits jetzt auf Nummer sicher gehen will, der sollte mit Firefox surfen und das Add-On »NoScript« nutzen. Es erlaubt die Ausführung von Scripts aller Art nur bei (vertrauenswürdigen) Sites nach Wahl des Anwenders. Freilich können Scripts bei allen Browsern auch komplett ausgeschaltet werden – was den Surf-Komfort jedoch deutlich mindert. (tk/mk)
(THG – PC Professionell)