Der mittlerweile namhafte bulgarische Internet-Kammerjäger Georgi Guninski hat erneut ein Loch im kostenlosen E-Mail-Service Hotmail von Microsoft (Börse Frankfurt: MSF) entdeckt.
Laut Aussagen des Sicherheitsexperten ermöglicht Hotmail, daß in Sites eingebaute Javascripts automatisch ablaufen. Trifft ein Anwender im Netz auf ein solches Javascript-Programm, kann dieses die totale Kontrolle über seinen Rechner übernehmen. Paßwörter und private E-Mails sind dann nicht mehr länger geheim.
Die Tatsache, daß aktive Web-Applets – ganz egal ob in ActiveX oder Java geschrieben – Systeme öffnen können, die im Netz auf sie treffen, ist altbekannt. Neu ist, daß Hotmail für solche Angriffe offen ist. Und das nicht nur theoretisch: Hier handelt es sich um eine echte Gefahr für Nutzer des Dienstes.
Die Lücke öffnet sich, da Hotmail mit dem neuen HTML-Tag „STYLE“ nicht umgehen kann. Java-Programmierer nutzen STYLE, um Javascript in HTML-Sites einzuweben. Die Lösung des Sicherheitsproblems wäre, wenn Hotmail mit STYLE genauso verfahren würde, wie mit ordinärem Javascript: beim Treff deaktivieren.
Doch Sprecher von Microsoft erklärten sich zunächst für nicht zuständig: „Dies ist kein spezielles Hotmail-Problem. Für uns ist das (die Bekanntmachung des Problems durch Guninski / d. Red.) vielmehr eine Aufforderung an Hacker, bösartige Programme ins Netz zu stellen.“
Der Sprecher erklärte weiter: „Um sich zu schützen, raten wir unseren Kunden vor dem Einsatz von Hotmail zum Abschalten von Javascript. Oder öffnen Sie einfach keine Mails von Leuten, die Sie nicht kennen, wenn Sie glauben, darin könnte Javascript verborgen sein.“
Gleichzeitig räumte er aber ein, daß Hotmail an dem Problem arbeite. Ende vergangener Woche hatte Microsoft erklärt, man habe eine Fremdfirma damit beauftragt, den E-Mail-Dienst Hotmail auf Sicherheitslöcher hin zu überprüfen. Dies erfolgte in Reaktion auf das jüngst bekanntgewordene Riesen-Sicherheitsloch bei Hotmail, das als „größtes Sicherheitsloch in der Geschichte des Internet“ Schlagzeilen machte.
Kontakt: Microsoft, Tel.: 089/31760
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…