Cross Site-Scripting ermöglichte Zugang zu fremden Hotmail-Accounts

[Newsbot]

Der Software-Konzern Microsoft schaltete am Wochenende Teile seiner MSN-Webseiten ab, nachdem eine Sicherheitslücke entdeckt wurde. Der Fehler hatte seine Ursache in der Architektur der Site und ermöglichte es Angreifern, auf E-Mail-Konten von Hotmail-Nutzern zuzugreifen, begründete das Unternehmen gestern in Redmond, Washington, die Maßnahme.

Bei der Überprüfung einiger MSN Messenger-Angebote wurde eine Sicherheitslücke entdeckt, über die mittels Cross Site-Scripting Cookies von Hotmail-Usern umgeleitet werden konnten. Dazu musste den Anwendern lediglich eine manipulierte URL geschickt werden. Mit dem Cookie wäre der Zugang zu den jeweiligen Accounts ohne weitere Passwort-Abfrage möglich gewesen, hieß es.

Entdeckt wurde die Sicherheitslücke von Alex de Vries, einem niederländischen Programmierer. Das Problem wurde nach Angaben des Betreibers inzwischen behoben. Bisher ist nicht bekannt, ob Konten der insgesamt rund 200 Millionen Hotmail-User in Mitleidenschaft gezogen wurden.