Security: Browser verrieten Nutzdaten via CSS

Über ein Jahr lang konnten Angreifer Medienberichten die von Nutzern auf Facebook hinterlegten Profilnamen, Profilbilder und Likes abgreifen, wenn diese eine manipulierte Internetseite besuchten. Möglich war diese Art des Angriffs durch eine Sicherheitslücke in der Stylesheet-Sprache CSS und lediglich, wenn der Nutzer den Chrome- oder Firefox-Browser nutzte.

Konkret konnten Angreifer den 2016 in CSS eingeführten Mix-Blend-Modus ausnutzen. Normalerweise kann eine Internetseite per iFrame eingebundene Inhalte nicht sehen, allerdings war es möglich, dieses Sicherheitsfeature mithilfe des Mix-Blend-Features auszuhebeln. Somit konnte auf eine manipulierte Seite der Like-Button eingebunden werden, um Nutzerdaten von Facebook abzugreifen, wenn der Nutzer auch bei Facebook eingeloggt war.

Der Angriff ist bereits seit letztem Jahr in dieser Form nicht mehr durchführbar, da Chrome und Firefox entsprechend aktualisiert wurden.

Quelle(n)