🚀 go-pugleaf

David Hummel <davidhummel@gmail.com> wrote in message news:<pajbl0lmttemm7v2klhf6np4imf6elhn31@4ax.com>...
> Hostpoint ist am Wochenende leider nicht erreichbar, ich frage deshalb
> hier: Sind SubdoGanz so im Dunkeln wie zun�chst angenommen, scheint
eBay bei der am Wochenende bekannt gewordenen Sicherheitsl�cke doch
nicht zu tappen -- immerhin kennt man nun die Ursache. Das Problem
beruht auf der vom Auktionshaus gegen�ber den Kunden einger�umten
M�glichkeit, beim Einstellen von Waren neben Texten und Bildern auch
eigenes JavaScript in die Angebotsseiten einzubetten. Damit k�nnen
Anbieter nicht nur ihre Seiten versch�nern, sondern beispielsweise
auch eBay-Logins f�lschen und umleiten, um an Passw�rter von Bieter zu
gelangen. Im Forum zur Meldung vom gestrigen Sonntag wurden zahlreiche
JavaScript-Code-Schnipsel gepostet, die die Sicherheitsl�cke
demonstrierten.

eBay selbst gibt zu, dass das Problem lange bekannt sei, allerdings
handele es sich nach Ansicht des Unternehmens um eine rein
theoretische Sicherheitsl�cke. Dennoch will man sich heute mit Bj�rn
N., dem mutma�lichen Entdecker der L�cke, zusammensetzen und die
M�glichkeiten eines Beratungsvertrages ausloten. Der erste Kontakt vor
bereits einem Jahr brach nach Angaben des Auktionshauses nach den
�berzogenen Forderungen von Bj�rn N. ab. Der Computerspezialist soll
eine siebenstellige Summe f�r die Preisgabe seines Wissen verlangt
haben.

Interessant ist, dass eBay JavaScript in den Seiten von Kunden f�r
eine theoretische Sicherheitsl�cke h�lt. Seit langem gilt unter
Entwicklern und Anbietern beispielsweise Cross-Site-Scripting aufgrund
fehlender Code-Filterung als Schwachstelle in Web-Servern und
-Applikationen. Angreifer schleusen so JavaScript in die Browser von
Opfern und f�hren ihn in vertrauensw�rdigen Sicherheitszonen aus, um
an Authentifizierungs-Cookies zu gelangen. Hier musste der Angreifer
aber quasi �ber Bande spielen, um erfolgreich zu sein -- bei eBay
bekommt er alle Werkzeuge direkt in die Hand.

eBay arbeitet mittlerweile an dem Problem. Bis dahin empfiehlt der
Anbieter, die eBay-Toolbar zu benutzen, mit der sich Angriffe
feststellen lassen. Alternativ k�nnen Anwender auch JavaScript im
Browser abschalten.

Mit der Sicherheitsl�cke auf eBay besch�ftigt sich auch der Kommentar
auf heise Security: Aus der Verantwortung stehlenmains wirklich
m�glich? Bei allen Domains und nicht
> nur bei der Hauptdomain? Ich frage, weil ich geh�rt habe, dass nur die
> Hauptdomain eine echte Domain ist, die anderen sind in Wirklichkeit
> Subdomains und deshalb frage ich mich, ob Subdomains von Subdomains
> m�glich sind?
> 
> DH