CSS-Bug leakte Nutzerinfos in Chrome und Firefox

Ein Bug bei der Verarbeitung von Cascading Stylesheets (CSS) führte dazu, dass Daten über Benutzer in anderen Sitzungen in Chrome und Firefox abgerufen werden konnten.


Anzeige

Das Problem wurde bereits im März 2017 entdeckt, aber erst jetzt haben Sicherheitsforscher von Evonide den Angriffsvektor im Blog-Beitrag Side-channel attacking browsers through CSS3 features offen gelegt.

Die Angriffsmethode ist dabei sehr, sehr trickreich, in dem das CSS3-Feature mix-blend-mode missbraucht wird. Mit mehreren übereinander gestapelten DIV-Layern mit unterschiedlichen Blend-Modi könnten Angreifer in Chrome und Firefox beim rendern auf Inhalte dieser Layer mit Inline-Frames schließen. Mit etwas Rechenleistung ließen sich Pixel extrahieren und zu einem Bild kombinieren.

Auf diese Weise war es theoretisch möglich, Informationen des Nutzers aus Facebook abzuziehen, wenn der Benutzer dort angemeldet ist. Dieser Bug ist in Chrome seit Version 63 und in Firefox seit Ausgabe 60 gefixt. Auf dieser Testseite kann man das Ganze ausprobieren. Einige Informationen in deutscher Sprache finden sich z.B. hier bei heise.de.


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Facebook, Firefox, Google Chrome, Sicherheit abgelegt und mit verschlagwortet. Setze ein Lesezeichen auf den Permalink.

Eine Antwort zu CSS-Bug leakte Nutzerinfos in Chrome und Firefox

  1. Steter Tropfen sagt:

    Und wie funktioniert die Testseite? Ich bekomme damit nur den Text „Facebook Data Leak", ein paar Schaltbuttons und den seltsamen Text „Calibtrated threshold".
    Einziger Unterschied je nach Browser ist die ms-Zeitangabe und die Farbe des Quadrats rechts oben in der Ecke: Beim IE grün, sonst schwarz. – Nichts, um mal schnell für den Hausgebrauch testen zu können, ob der Browser (hier: PaleMoon und Vivaldi) sicher ist.

Schreibe einen Kommentar zu Steter Tropfen Antworten abbrechen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.