Sicherheitsloch: Funktion Auto-Ausfüllen von Safari gibt Anwenderdaten preis

Die Option Auto-Ausfüllen von Safari kann unerwünscht persönliche Daten des Anwenders offenlegen, berichtete ein Sicherheitsforscher. Chrome ist Google zufolge nicht betroffen, obwohl dieser Browser ebenfalls auf WebKit basiert. Safari-Nutzer sollten das Feature bis zur Veröffentlichung eines Patches abstellen.

Die Sicherheitslücke hatte Jeremiah Grossman, der CTO von WhiteHat Security, in einem Blog gemeldet. Ihm zufolge ist sowohl der aktuelle Safari 5 als auch die Vorgängerversion Safari 4 betroffen. Er berichtet, dass eine in böser Absicht erstellte Webseite auf Informationen des Anwenders zugreifen kann, ohne dass dieser auf der Webseite selbst aktiv wird – und auch beim ersten Besuch einer solchen Seite.

Dazu müsste die Seite nur dynamische Formularfelder mit üblichen Namen wie „address“ oder „credit card“ enthalten und per JavaScript Tastatureingaben simulieren. Safari würde den Rest von selbst ausfüllen. Das funktioniert auch, ohne dass die Formularfelder für den Besucher der Seite überhaupt sichtbar sind. Chrome umgeht das Problem Google zufolge übrigens, indem es eine zusätzliche Nutzerbestätigung verlangt, die sich per JavaScript nicht nachahmen lässt.

Grossman hat Apple nach eigener Auskunft am 17. Juni auf das Problem aufmerksam gemacht, aber nur eine Standardantwort erhalten. Nach der Veröffentlichung teilte das Unternehmen mit, es arbeite an einem Patch für die Lücke.

Möglicherweise ist die Lücke gar nicht neu: In einem Blogeintrag vom April 2009 hatte der Schweizer Sicherheitsforscher Patrice Neff ein verblüffend ähnliches Leck gemeldet: Safari verrate jedem den Geburtstag des Anwenders, ohne dass dieser zustimmen müsse, schrieb Neff.

Safari unter iOS, also die mobile Variante, und der auf WebKit basierende Browser von Android scheinen wie Chrome nicht betroffen zu sein. Eine Bestätigung oder Erklärung dazu steht noch aus.