#1 27. September 2007 Angreifer legen eigene Filterregeln in Google Mail an In Google Mail alias Gmail wurde ein Sicherheitsleck entdeckt, über das Angreifer beliebige E-Mails mitlesen können. Angreifer schleusen dazu spezielle Filtereinstellungen in Googles E-Mail-Dienst ein, indem Opfer lediglich zum Besuch einer präparierten Webseite verleitet werden müssen, während sie zugleich bei Gmail angemeldet sind. Bei der Sicherheitslücke handelt es sich um ein so genanntes Cross-Site-Request-Forgery-Leck (CSRF), das von Petko D. Petkov alias pdp entdeckt wurde. Er will keinen Beispiel-Code zu dieser Sicherheitslücke veröffentlichen, um Google die Möglichkeit zu geben, den Fehler ohne Schaden auszubessern. Zur Ausnutzung der Sicherheitslücke muss ein Opfer in einem Browser-Fenster bei Google Mail angemeldet sein. Schafft es ein Angreifer nun, den Anwender auf eine manipulierte Webseite zu locken, können beliebige Filterregeln in Google Mail angelegt werden, ohne dass der Nutzer davon etwas bemerkt. Solch ein Filter kann etwa jede E-Mail an eine bestimmte Adresse weiterleiten, so dass ein Fremder alle über Google Mail versendeten Nachrichten mitlesen kann. Bisher hat Google das Sicherheitsleck nicht geschlossen. Petkov sieht eine große Gefahr hinter dem Sicherheitsleck, weil ein eingeschleuster Filter auch nach Beseitigung des Sicherheitslochs weiter aktiv bleibt. (ip) Quelle: Sicherheitsloch: Angreifer können Gmail-E-Mails mitlesen - Golem.de + Multi-Zitat Zitieren
#2 28. September 2007 Google hat Gmail-Sicherheitsloch beseitigt Google hat Gmail-Sicherheitsloch beseitigt Keinen Schaden für Nutzer bekannt Google hat nach eigenen Angaben das jüngst in Gmail alias Google Mail bekannt gewordene Sicherheitsloch geschlossen. Bislang soll das Sicherheitsleck nicht aktiv ausgenutzt worden sein. Gegenüber australischen Kollegen verriet Google, dass das jüngste Sicherheitsloch in Gmail alias Google Mail bereits beseitigt wurde. Über das Sicherheitsloch können Angreifer beliebige E-Mails mitlesen, indem sie eigene Filterregeln einschleusen und sich alle Nachrichten an eine beliebige E-Mail-Adresse weiterleiten. Auch der aktuelle Fall zeigt, dass Google über Sicherheitslecks weiterhin nicht aktiv informieren will. Der Konzern rückt Informationen zu Sicherheitslücken nach wie vor nur auf Nachfrage heraus und nutzt nicht etwa das im Mai 2007 gestartete Sicherheits-Blog, um seine Kunden direkt auf Sicherheitsrisiken hinzuweisen. quelle: Golem.de + Multi-Zitat Zitieren
#3 29. September 2007 AW: Google hat Gmail-Sicherheitsloch beseitigt google scheints schnell zu fixen was die dynamik des unternehmens zweifellos aufzeigt! das mit dem sicherheits blog find ich eine sehr gute idee - würde auch microsoft gut tun - nur diese sind wie ich denke dafür zu stolz... teNTy^ + Multi-Zitat Zitieren
#4 1. Oktober 2007 AW: Sicherheitsloch: Angreifer können Gmail-E-Mails mitlesen jo das haben die ganz fix gemacht und stimme nur zu Google hat sich echt bewiesen..(respect !!) andere unternehmen sollten sich mal ein beispiel nehmen !!! Greez MCX:] + Multi-Zitat Zitieren