Risiko durch Framesniffing-Angriffe: Daten in Microsoft SharePoint und LinkedIn sind gefährdet
ID: 594559
Context zeigt Wege auf, Internet- und Intranet-Seiten zu schützen
Die Sicherheitsexperten von Context haben SharePoint 2007 und 2010 getestet und herausgefunden, dass diese das "Framing" nicht in der Grundeinstellung unterbinden. So senden sie die Titelzeile für die X-Frame-Optionen nicht an die Webbrowser, welche die Anwendungen sowohl vor Framesniffing als auch vor Clickjacking schützen würde. Die Folge ist, dass jede Website, welche die URL einer SharePoint-Installation kennt, diese in einen Frame laden und die Sicherheitsattacke ausführen kann - sogar wenn die Zielseite nur in einem Intranet zugänglich ist. In Folge dieser Entdeckung hat Context den Hersteller Microsoft kontaktiert. Die Antwort des Unternehmens: "Wir haben unsere eigenen Nachforschungen abgeschlossen und festgestellt, dass die Grundeinstellungen für die aktuellen Versionen von SharePoint gelten. Wir arbeiten daran, die X-Frame-Optionen in der nächsten Version im Standard zu aktivieren."
Framesniffing kann auch für das Abgreifen vertraulicher Daten von öffentlichen Webseiten verwendet werden. Ein Beispiel ist das Business-Netzwerk LinkedIn, das keinen Schutz gegen Framing vorsieht. Über eine schadhafte Webpage können Angreifer Benutzerprofile der Besucher aufbauen. Dazu stellen sie Bruchstücke an Informationen zusammen, die verschiedene Websites durchsickern lassen. So können beispielsweise die Produkt-IDs von zuvor auf Einkaufsportalen gekauften Artikeln mit einer Nutzer-ID eines Besuchers von einem Sozialen Netzwerk kombiniert werden.
Die genaue Vorgehensweise von Framesniffing-Attacken zeigt Context auf seinem Blog in einem Video. Hier gewinnen Angreifer sensible Informationen aus einer fiktionalen betrieblichen SharePoint-Installation. Darüber hinaus erklären die Experten von Context in einer einfachen Schritt-für-Schritt Anleitung, wie eine Website vor Angriffen durch Hinzufügen der Titelzeile X-Frame-Options geschützt werden kann. Während Mozilla seinen Browser Firefox im vergangenen Jahr einem Update unterzogen hat, um Framesniffing zu verhindern, sind die letzten Versionen von Internet Explorer, Chrome und Safari nach wie vor angreifbar. "Wir sprechen die Anbieter der verschiedenen Webbrowser derzeit an, ihre Sicherheitsvorkehrungen zu erhöhen. Bis dahin ist jedoch jeder einzelne Website-Betreiber gefragt, seine Seite durch Hinzufügen der X-Frame-Optionen vor Framing zu schützen", betont der Analyst Paul Stone.
Der Blog von Context Information Security ist unter folgendem Link zu erreichen:
www.contextis.com/research/blog/framesniffing/
Weitere Infos zu dieser Pressemeldung:
Themen in dieser Pressemitteilung:
Unternehmensinformation / Kurzprofil:
Über Context Information Security
Context ist eine unabhängiges Beratungsunternehmen, das sich auf den Bereich der technischen Sicherheit spezialisiert hat. Die Fokus liegt zudem auf Dienstleistungen zur Informations- und Datensicherung. Seit der Gründung im Jahr 1998 hat das Unternehmen seinen Kundenstamm kontinuierlich ausgebaut - zum einen aufgrund des produktübergreifenden, ganzheitlichen Ansatzes und der individuell zugeschnittenen Services. Zum anderen liegt der Erfolg in der Unabhängigkeit und Integrität der Berater sowie ihrer fundierten technischen Fähigkeiten begründet. Zu den Kunden gehören heute weltweit führende Großunternehmen sowie Regierungsorganisationen. Context verbindet breitgefächerte Erfahrung mit technischer Expertise und wird damit den umfassenden Anforderungen an Sicherheitsexperten der heutigen Zeit gerecht. Effektive und praktische Lösungen sowie Rat und Unterstützung sind das vorrangige Ziel. Daher liefert Context nicht nur tiefgreifende, technische Analysen und Empfehlungen, sondern übersetzt seine Reports auch für die Managementebene.
Press'n'Relations GmbH Ulm
Anne Zozo
Magirusstr. 33
89077 Ulm
az(at)press-n-relations.de
073196287-20
http://www.press-n-relations.de
Datum: 13.03.2012 - 15:25 Uhr
Sprache: Deutsch
News-ID 594559
Anzahl Zeichen: 4188
Kontakt-Informationen:
Ansprechpartner: Sven Schlüter
Stadt:
Düsseldorf
Telefon: Tel.: +49 (0)211 7327 9523
Kategorie:
New Media & Software
Meldungsart:
Anmerkungen:
Diese Pressemitteilung wurde bisher 281 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"Risiko durch Framesniffing-Angriffe: Daten in Microsoft SharePoint und LinkedIn sind gefährdet"
steht unter der journalistisch-redaktionellen Verantwortung von
Context Information Security Ltd. Zweigniederlassung Düsseldorf (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).
Bei der Untersuchung der drei beliebtesten Tablet-PC"s haben die Analysten von Context Information Security eindeutige Sicherheitsversäumnisse identifiziert. Die Ergebnisse sollten vor allem bei den Unternehmen Bedenken aufwerfen, die es Mitarbeitern ermöglichen wollen, ihre eigenen Geräte i
Sicherheitslücken in der Serialisierungsfunktion beeinträchtigen .NET-Umgebung ...
Die Analysten von Context Information Security haben auf der "Black Hat USA", die derzeit in Las Vegas stattfindet, ein neues White Paper vorgestellt. Darin werden Sicherheitslücken im .NET Framework von Microsoft beschrieben, die auf Schwachstellen in der Serialisierungsfunktion beruhen.
Risiko durch"Dirty Disks": Datensicherheit in der Cloud fraglich ...
Context Information Security hat potenziell schwerwiegende Sicherheitslücken in den Implementierungen von Cloud-Infrastrukturdienstleistungen einiger Anbieter identifiziert. Schwachstelle ist die nicht ausreichende serverseitige Trennung von Kundendaten, die dadurch ernsthaft gefährdet sein könne
Weitere Mitteilungen von Context Information Security Ltd. Zweigniederlassung Düsseldorf
Controlware verstärkt Präsenz inÖsterreich: Neue Standorte in Innsbruck und Graz ...
Dietzenbach, 13. März 2012 - Controlware, renommierter deutscher Systemintegrator und IT-Dienstleister, baut seine Präsenz in Österreich aus. 2012 eröffnete das Unternehmen zusätzlich zum langjährigen Standort Wien zwei weitere Niederlassungen in Graz und Innsbruck. Controlware ist in Österr
Schlank, variabel und stromsparend: Grafikdisplay DOGM128-6 ...
ELECTRONIC ASSEMBLY, führender Anbieter von TFT- und LCD-Displays für den industriellen Einsatz, erweitert seine Produktfamilie EA DOGM um das Modell EA DOGM128-6. Aus der Kombination von sieben verschiedenen optionalen LED-Hintergrundbeleuchtungen mit fünf verschiedenen lieferbaren Displaytechn
Dell XPS 13: Dells erstes Ultrabook ab sofort erhältlich ...
Das Ultrabook Dell XPS 13 ist ab sofort erhältlich. Das extrem dünne Gerät mit 33,8-cm-Display glänzt mit hervorragender Verarbeitungsqualität und einem kompakten sowie widerstandsfähigen Gehäuse aus Aluminium und Kohlefaser. Es ist in wenigen Sekunden einsatzbereit und mit seinen Support-Op
CosmoShop bietet seinen Anwendern ab sofort die neuen gesetzeskonformen Bestell-Buttons ...
Die Zaunz Publishing GmbH, einer der führenden Hersteller von eCommerce-Anwendungen, stellt für seine Shopsoftware CosmoShop (http://www.cosmoshop.de) ab sofort neue Bestell-Buttons mit der Aufschrift "zahlungspflichtig bestellen" zur Verfügung. Online-Händler, die CosmoShop nutzen, k
